CVE-2021-30860

CVE-2021-30860 (FORCEDENTRY) ist eine bekannte Sicherheitslücke in MacOS, iOS und WatchOS. Sie ermöglicht die Ausführung von beliebigem Code durch Senden einer „bösartig präparierten PDF“ an ein Zielgerät.

Diese Sicherheitslücke wurde von Apple am 13. September 2021 mit den folgenden Versionen geschlossen:

• iOS 14.8
• OSX Big Sur 11.6, Security Update 2021-005 Catalina
• WatchOS 7.6.2

Allerdings wurde sie seit Februar 2021 oder früher in freier Wildbahn ausgenutzt.

Zweck

Erkennung von Hinweisen auf frühere Angriffe auf MacOS-Computern oder iPhones (durch Scannen eines lokalen Backups auf einem Mac). Dies dient nicht dem Schutz vor zukünftigen Angriffen oder der Rückgängigmachung von Folgen eines früheren Angriffs. Dies dient nicht der Erkennung früherer Angriffe auf Apple Watches oder iPads.

Methoden

Es werden zwei verschiedene Methoden verwendet, um Hinweise auf frühere Angriffe zu erkennen.

Hinweise auf den initialen Angriff

Der bekannte Angriffsvektor unter Verwendung dieser Sicherheitslücke besteht im Senden bösartiger PDF- oder PSD-Dateien (fälschlich als GIFs bezeichnet) per SMS. Die Skripte hier scannen die empfangenen Nachrichtenanhänge eines Mac- oder iPhone-Backups auf „.gif“-Dateien, deren Dateisignatur nicht mit der eines GIF übereinstimmt. Es ist erwähnenswert, dass der Empfang der Dateien nicht unbedingt bedeutet, dass ein Gerät kompromittiert wurde, insbesondere wenn die Datei(en) nach der Installation des Sicherheitsupdates auf dem Gerät empfangen wurden.

Unvollständige Bereinigung

Die von der NSO-Gruppe mit dieser Sicherheitslücke durchgeführten Angriffe hatten mindestens einen Fehler in ihrer Bereinigungsphase. Auf einem iPhone bleiben Hinweise in Form einer Inkonsistenz in einer bestimmten SQL-Datenbank zurück. Citizenlab demonstrierte eine einfache SQL-Abfrage für diese Datenbank, die die entsprechende Inkonsistenz erkennen kann.

Anforderungen

Erforderlich für alle Scans

• Ein Computer mit MacOS 11.0 oder höher.
• Eine Python 3-Installation.

Nur für iPhone-Scans erforderlich

• Ein unverschlüsseltes vollständiges lokales Backup des betreffenden iPhones.
• Eine Installation der iPhone backup tools, die zum Scannen von iPhone-Backups verwendet werden.

Vorbereitung und Verwendung

1. Stellen Sie sicher, dass alle Anforderungen erfüllt sind.
2. Laden Sie dieses Repository herunter und navigieren Sie im Terminal zu dessen Ordner.
3. Führen Sie python3 cve_scan.py aus, um mit den Standardoptionen zu scannen, oder python3 cve_scan.py -h für Hilfe.

Beispiele

1. Nur diesen Mac scannen: python3 cve_scan.py --mode mac
2. Nur ein iPhone-Backup scannen: python3 cve_scan.py --mode iphone
3. Nur iPhone-Nachrichten scannen: python3 cve_scan.py --mode iphone --method attachments
4. Nur die iPhone datausage-Datenbank scannen: python3 cve_scan.py --mode iphone --method datausagedb
5. Das aktuellste iPhone-Backup scannen: python3 cve_scan.py --mode iphone --backups newest

Referenzen

• MITRE CVE Page
• Apple support document
• Citizenlab Article