Triple-Fetch-Kernel-Creds

Versuch, Kernelberechtigungen von launchd + task_t-Zeiger zu stehlen (Basierend auf: CVE-2017-7047)

Über Triple Fetch (von Ian Beer von Google Project Zero)

Triple Fetch ist ein Exploit für iOS-Geräte vor iOS 10.3.3. Er nutzt einen Logikfehler in libxpc aus, der es Angreifern ermöglicht, bösartige Nachrichten mit xpc_data-Objekten zu senden, die durch gemeinsam genutzten Speicher gestützt werden.

Was ist im ursprünglichen Exploit enthalten

Der ursprüngliche Exploit zielt auf einen niedrigstufigen Daemon auf iOS ab, der NSXPC verwendet: CoreAuthenticationd. Der Exploit patcht AMFID, um die Ausführung von beliebigem Code zu ermöglichen, und erlangt außerdem ein send_right für launchd, was uns erlaubt, task_for_pid 1 auszuführen. Das gewährt uns volle Berechtigungen über den niedrigsten Daemon des Systems, launchd.

Was Sie mit dem Exploit erreichen können

Da der Exploit bereits ein Beispiel namens hello_world zur Nutzung des launchd-Tasks zum Auslesen des Speichers von launchd mit den Speicherregionen (lesen/schreiben/ausführen) mitbringt, wird es nicht schwer sein, Folgendes zu tun:

• Launchd verfügt über eine Reihe von Kernel-Berechtigungen. Diese können von launchd gestohlen werden, um später Kernel-Patches durchzuführen.
• Launchd hat Kernel-Senderechte. Ja, launchd besitzt einen task_t-Zeiger auf den Kernel. Das hinterlässt uns eine perfekte Situation, um task_for_pid 0 zu erlangen.

Warum dieser Exploit wertvoller ist als zunächst gedacht

Da der Exploit direkt aus dem Userspace läuft und Root-Rechte erlangt, ohne den Kernel zu patchen, kann dieser Exploit perfekt für Jailbreak-Zwecke verwendet werden. Da es sich bei dem Fehler jedoch um eine Race-Condition handelt, die offenbar nur selten korrekt auftritt, müssen Benutzer viele Male neustarten und es erneut versuchen, bevor sie wieder einen Jailbreak haben.

Beiträge

Sie können jederzeit einen Pull-Request erstellen, wenn Sie Code zum Repository beitragen möchten. Wir werden eine Datei mit vielen Offsets hinzufügen, die für zukünftige Kernel-Patches benötigt werden. Wir werden an Code arbeiten, der das Stehlen der Kernel-Berechtigungen von launchd unterstützt.

Tricks

Durch die Verwendung der VoIP-APIs von Apple werden wir versuchen, den Exploit nach jedem Neustart automatisch im Hintergrund auszuführen. Ein nettes Einstellungsbundle wird zur App hinzugefügt, damit Sie eine bootNonce aus den Einstellungen setzen können, für zukünftige Downgrade-Zwecke. Ein Schalter zum Deaktivieren und Aktivieren von OTA-Updates wird hinzugefügt. Es wird Code zum automatischen Speichern von SHSH2-Blobs mithilfe von Cron-Jobs hinzugefügt. Ich werde mein Bestes tun, um Tor in den Jailbreak zu integrieren, der in den Einstellungen umschaltbar ist, denn jeder braucht seine Privatsphäre. Ein Content-Blocker wird nur zum Spaß hinzugefügt, um lästige Werbung in Safari loszuwerden.

WIR KÖNNEN DIES NICHT ALLEIN SCHAFFEN, WIR BRAUCHEN IHRE UNTERSTÜTZUNG!