PoC Konzeptionell CVE-2024-44258: Symlink-Schwachstelle in iOS

Voraussetzung: Python 3.7+ • Lizenz: MIT

⚠️ Warnung: Dieses Repository enthält eine Proof-of-Concept (PoC), die ausschließlich für Bildungs- und Forschungszwecke entwickelt wurde. Es handelt sich nicht um einen voll funktionsfähigen Exploit. Die Verwendung auf Geräten ohne entsprechende Autorisierung ist verboten.

Inhalt

1. Überblick

2. Details der Schwachstelle

3. Umfang und Einschränkungen

4. Merkmale des PoC

5. Anforderungen

6. Implementierungsanleitung

   • Klonen des Repositorys
   • Kritische Konfiguration
   • Ausführung
   • Theoretische Validierung

7. Echter Exploit: Hauptherausforderungen

8. Nutzungsbedingungen und Haftungsausschluss

9. Lizenz

10. Danksagungen

Überblick

Diese PoC veranschaulicht konzeptionell CVE-2024-44258, eine Schwachstelle in der Symlink-Auflösung während der Backup-Wiederherstellung in iOS. Das Ziel ist es, die minimale Konfiguration zu demonstrieren, die zur Ausnutzung des Fehlers erforderlich ist, ohne einen vollständigen Exploit bereitzustellen.

Details der Schwachstelle

• CVE-ID: CVE-2024-44258
• CWE: CWE-59 (Improper Link Resolution Before File Access)
• Betroffene Komponenten: ManagedConfiguration-Framework und der Daemon profiled.
• Zusammenfassung: Der Wiederherstellungsprozess von Backups prüft nicht, ob ein Pfad ein Symlink ist, was das Schreiben von Dateien an beliebigen Orten ermöglicht.
• Auswirkung: Privilegieneskalation, Änderung kritischer Dateien, unbefugter Zugriff.
• Status (Mai 2025): Behoben in iOS 17.7.1, iOS 18.1, iPadOS 17.7.1, iPadOS 18.1, visionOS 2.1, tvOS 18.1 und späteren Versionen.
• Patch-Datum: Oktober–November 2024
• Forscher: Hichem Maloufi, Christian Mina, Ismail Amzdak

Umfang und Einschränkungen

• Ziel: Die internen Abläufe der Schwachstelle verstehen.
• Nicht implementiert: Änderung der binären Datei Manifest.mbdb, ein kritischer Schritt für einen echten Exploit.
• Ergebnis: Simulation der Backup-Struktur und Auflistung theoretischer Operationen.

Merkmale des PoC

1. Abhängigkeitsprüfung: Überprüft die Verfügbarkeit von libimobiledevice.

2. Geräteerkennung: Wartet auf die Verbindung eines iPhones und identifiziert dessen UDID.

3. Erzeugung eines simulierten Backups:

   • Struktur in CVE-2024-44258_PoC_Backup
   • Fügt eine Payload-Datei (.plist) in HomeDomain/Library/ConfigurationProfiles/ ein
   • Erstellt Verzeichnisse für SysSharedContainerDomain-systemgroup.com.apple.configurationprofiles
   • Markiert den Symlink in einer Platzhalterdatei (Library -> SYMLINK_TARGET_ON_DEVICE)
   • Exportiert Manifest_OPERATIONS_SIMULATED.txt mit konzeptionellen Schritten

4. Wiederherstellungsversuch: Verwendet idevicebackup2, um das Backup auf das Gerät anzuwenden.

Anforderungen

• Hostsystem: macOS oder Linux
• Python: ≥ 3.7
• Bibliotheken: libimobiledevice (idevicelist, idevicebackup2 im PATH verfügbar)

Implementierungsanleitung

Klonen des Repositorys

git clone https://github.com/missaels235/POC-CVE-2024-44258-Py.git
cd POC-CVE-2024-44258-Py

Kritische Konfiguration

In poc_cve_2024_44258.py anpassen:

• SYMLINK_TARGET_ON_DEVICE: Absoluter Pfad in iOS, an dem der Link erstellt und die Payload geschrieben wird.

  • Muss ein Pfad mit Schreibrechten sein.

  • Sichere Beispiele (Sandbox):

    root@kitploit:~

    /private/var/mobile/Containers/Data/Application/<APP_UUID>/tmp/ExploitDir
    /private/var/mobile/Library/Caches/ExploitCache
    

⚠️ Vorsicht: Ein ungeeigneter Pfad kann die PoC ungültig machen oder bei einem echten Exploit die Systemintegrität beeinträchtigen.

Ausführung

python3 poc_cve_2024_44258.py

1. Prüft Abhängigkeiten.
2. Verbindet das iPhone.
3. Erzeugt das simulierte Backup.
4. Fordert eine Bestätigung an, bevor die Wiederherstellung durchgeführt wird.

Theoretische Validierung

Falls der Wiederherstellungsprozess abgeschlossen wird:

1. Zugriff auf das Gerät (Jailbreak + SSH oder Filza).
2. Überprüfen der Datei PoC_File_CVE-2024-44258.plist unter SYMLINK_TARGET_ON_DEVICE.
3. Inhalt der Payload bestätigen.

Hinweis: Ohne Änderung von Manifest.mbdb ist die Validierung rein theoretisch.

Echter Exploit: Hauptherausforderungen

1. Analyse von Manifest.mbdb: Proprietäres Binärformat.

2. Bearbeitungswerkzeuge: Entwicklung in C oder Ähnlichem.

3. Erstellung eines bösartigen Backups:

   • Einbettung der .plist-Payload.
   • Definition von Symlinks in Manifest.mbdb.

4. Automatisierte Wiederherstellung: Das System erstellt Symlinks und schreibt in den Zielpfad.

Nutzungsbedingungen und Haftungsausschluss

• Nur für akademische und forensische Zwecke.
• Ohne Gewähr: Code „wie besehen“.
• Hohes Risiko: Datenverlust oder Brick des Geräts.
• Rechtliche Einhaltung: Keine Förderung illegaler Aktivitäten.
• Volle Verantwortung des Benutzers.

Lizenz

Verteilt unter der MIT-Lizenz. Siehe Datei LICENSE.

Danksagungen

• Hichem Maloufi, Christian Mina, Ismail Amzdak — Offenlegung der Schwachstelle.
• libimobiledevice-Community — Unverzichtbare Werkzeuge.
• Autor: Misael S. (@missaels235)