airborn-IOS-CVE-2025-24252

Extractor de artefactos de registro de vulnerabilidades Airborne de iOS de LogArchive CVE-2025-24252

Anton Shustikov es consultor de seguridad de la información y fintech con amplia experiencia en la creación de sistemas de seguridad. Es fundador del proyecto educativo no comercial CakesCats y contribuye con artículos en publicaciones como Forbes y la revista "Xakep". Su trabajo a menudo implica investigar amenazas digitales y promover la higiene digital.

Acerca de las vulnerabilidades "Airborne"

"Airborne" es un nombre dado a un conjunto de vulnerabilidades (descubiertas por Oligo Security en su investigación original) que afectan al protocolo AirPlay de Apple y al kit de desarrollo de software (SDK) de AirPlay. Estas vulnerabilidades pueden afectar a una amplia gama de dispositivos Apple (iPhones, iPads, Macs, Apple TV, etc.) y dispositivos de terceros que utilizan el SDK de AirPlay (por ejemplo, altavoces inteligentes, receptores).

Aspectos clave de las vulnerabilidades tipo "Airborne":

• Contexto del descubrimiento: La investigación original de "Airborne" fue publicada por Oligo Security (Más detalles: https://www.oligo.security/blog/airborne). Este script está diseñado para buscar artefactos forenses generales que podrían estar relacionados con tales vulnerabilidades.
• Protocolos/Componentes afectados: Principalmente Apple AirPlay, pero también servicios relacionados como Bonjour (mDNS) y rapportd, que maneja la comunicación entre dispositivos.
• Impacto potencial: Ejecución remota de código (RCE) (incluyendo variantes sin clic y potencialmente wormables), denegación de servicio (DoS), omisión de listas de control de acceso (ACL), divulgación de información y ataques de intermediario (MITM).
• CVE (Ejemplos contextuales): Si bien los números CVE específicos cambian con cada nuevo descubrimiento, la clase de vulnerabilidades "Airborne" apunta a fallos en cómo AirPlay y los servicios de red relacionados manejan datos, emparejamiento o conexiones. Por ejemplo, discusiones hipotéticas anteriores para esta herramienta consideraron CVE como CVE-2025-24252 (relacionado con problemas de mDNS) o CVE-2025-24132 (relacionado con desbordamientos de búfer en el SDK de AirPlay). Los usuarios siempre deben consultar los detalles específicos de CVE y los avisos de los proveedores para las vulnerabilidades que están investigando.
• Versiones de SO afectadas (Guía general): Típicamente, versiones de iOS, iPadOS, macOS, tvOS y SDK de AirPlay de terceros anteriores a los parches publicados por Apple y los respectivos proveedores en respuesta a divulgaciones de vulnerabilidades específicas. Consulte siempre las actualizaciones de seguridad oficiales de Apple y los avisos de los proveedores para obtener información sobre las versiones parcheadas.

Cómo funciona esta herramienta

Este script ejecuta una serie de comandos log show utilizando predicados cuidadosamente diseñados. Estos predicados están diseñados para filtrar la gran cantidad de información en los registros del sistema iOS para señalar posibles indicadores de compromiso o actividad anómala que podría estar relacionada con vulnerabilidades tipo "Airborne".

El script busca:

• Bloqueos o errores en procesos críticos del sistema involucrados en AirPlay, transmisión de medios, descubrimiento de red y comunicación entre dispositivos (por ejemplo, mediaserverd, AirPlayXPCHelper, rapportd, mDNSResponder).
• Errores registrados específicamente por el subsistema AirPlay o los servicios Bonjour/mDNS.
• Eventos de conexión de red anómalos (por ejemplo, restablecimientos de conexión inesperados, fallos de conexión) reportados por procesos relevantes.
• Pánicos del kernel, que pueden indicar inestabilidad grave del sistema potencialmente causada por un exploit.
• Actividad sospechosa relacionada con perfiles de configuración (como vector general de post-explotación).
• Mensajes de violación de sandbox, que podrían indicar que un exploit intenta salir de su entorno restringido.

La salida de cada consulta se guarda en un archivo de texto separado con nombre descriptivo dentro de un directorio de resultados con marca de tiempo, lo que permite un análisis enfocado de diferentes tipos de posibles artefactos.

Requisitos previos

1. Entorno macOS: La utilidad log show y este script están diseñados para ejecutarse en macOS.
2. Archivo de registro de iOS (.logarchive): Necesita un archivo de registro del sistema iOS (un paquete, que técnicamente es un directorio) del dispositivo que desea analizar. Esto se puede obtener típicamente a través de:
   • Xcode: Conecte el dispositivo iOS a una Mac, abra Xcode, vaya a Window -> Devices and Simulators, seleccione su dispositivo, luego haga clic en "View Device Logs" y "Export".
   • sysdiagnose: Active un sysdiagnose en el iPhone (generalmente presionando los botones de Subir volumen + Bajar volumen + Lateral simultáneamente, pero las combinaciones pueden variar según el modelo y la versión de iOS). Después de que se genere el sysdiagnose (puede tomar varios minutos), se puede enviar por AirDrop a una Mac o acceder a él al sincronizar el iPhone con una Mac (a menudo se encuentra en Finder bajo la ubicación de sincronización del iPhone dentro de un archivo .tar.gz). El .logarchive estará dentro del contenido extraído de sysdiagnose.
3. Shell Bash: El script está escrito para bash.

Configuración y ejecución

1. Guardar el script: Guarde el código del script (proporcionado arriba) como airborne_artifact_extractor.sh (o cualquier otro nombre con extensión .sh).

2. Hacerlo ejecutable: Abra su aplicación Terminal, navegue al directorio donde guardó el script y ejecute el siguiente comando:

   root@kitploit:~

   chmod +x airborne_artifact_extractor.sh
   

3. Verificar el atributo de cuarentena de macOS (Importante para scripts descargados): Si descargó este script de internet, macOS podría ponerlo en cuarentena, lo que puede impedir que se ejecute correctamente o incluso que se ejecute.

   • Para verificar si el atributo de cuarentena está establecido, ejecute:
     root@kitploit:~

     xattr airborne_artifact_extractor.sh
     

   • Si la salida incluye com.apple.quarantine, elimine este atributo ejecutando:
     root@kitploit:~

     xattr -d com.apple.quarantine airborne_artifact_extractor.sh
     

   Si aún encuentra problemas al ejecutar el script, especialmente si está ubicado en un directorio como ~/Downloads, asegúrese de que su aplicación Terminal tenga los permisos necesarios (por ejemplo, "Acceso completo al disco" en Ajustes del Sistema -> Privacidad y Seguridad) para acceder a la ubicación del script y al archivo de registro.

Solución de problemas de ejecución

Intérprete incorrecto o errores ^M (por ejemplo, /bin/bash^M: bad interpreter: No such file or directory)

Si encuentra un error como bash: ./nombre_de_tu_script.sh: /bin/bash^M: bad interpreter: No such file or directory, /usr/bin/env: ‘bash\r’: No such file or directory, o mensajes similares que involucren caracteres \r o ^M al intentar ejecutar el script, probablemente se deba a saltos de línea de estilo Windows (CRLF - Carriage Return Line Feed) en lugar de saltos de línea de estilo Unix (LF - Line Feed).

Esto suele ocurrir si el archivo del script fue creado o editado en un sistema Windows y luego transferido a macOS o Linux sin convertir los saltos de línea. Los sistemas Unix esperan solo LF como terminador de línea, y el carácter CR adicional (\r o ^M) se malinterpreta como parte de la ruta del intérprete o de los comandos.

Solución: Convertir saltos de línea con dos2unix

La forma más fácil de solucionarlo es usando la utilidad dos2unix.

1. Instalar dos2unix:

   • En macOS (usando Homebrew): Si no tiene Homebrew, instálelo primero desde brew.sh. Luego ejecute:

     root@kitploit:~

     brew install dos2unix
     

   • En distribuciones Linux basadas en Debian/Ubuntu:

     root@kitploit:~

     sudo apt update
     sudo apt install dos2unix
     

   • En distribuciones Linux basadas en Fedora/RHEL:

     root@kitploit:~

     sudo dnf install dos2unix # (o yum para versiones antiguas)
     

2. Convertir el archivo del script: Navegue al directorio que contiene airborne_artifact_extractor.sh y ejecute:

   root@kitploit:~

   dos2unix airborne_artifact_extractor.sh
   

   Este comando convertirá los saltos de línea en el mismo archivo.

Soluciones alternativas (si dos2unix no está disponible o no es preferido):

• Usando sed:

  root@kitploit:~

  sed -i.bak 's/\r$//' airborne_artifact_extractor.sh
  

  (Este comando modifica el archivo en el lugar y crea una copia de seguridad airborne_artifact_extractor.sh.bak. En algunas versiones de sed, especialmente en macOS, la opción -i requiere una extensión para el archivo de respaldo, como -i '.bak' o -i '' para no tener respaldo si es compatible. Para macOS, es posible que necesite sed -i '' 's/\r//g' airborne_artifact_extractor.sh)

• Usando tr:

  root@kitploit:~

  tr -d '\r' < airborne_artifact_extractor.sh > airborne_artifact_extractor_unix.sh
  chmod +x airborne_artifact_extractor_unix.sh
  # Luego use airborne_artifact_extractor_unix.sh
  

• Editores de texto: La mayoría de los editores de texto modernos (como VS Code, Sublime Text, Atom, Notepad++) permiten cambiar los saltos de línea. Abra el archivo del script, busque la configuración de saltos de línea (generalmente en la barra de estado o en el menú Archivo/Editar) y cámbiela de "CRLF" o "Windows" a "LF" o "Unix". Luego vuelva a guardar el archivo.

Después de convertir los saltos de línea, intente ejecutar el script nuevamente. Recuerde también asegurarse de que tenga permisos de ejecución (chmod +x airborne_artifact_extractor.sh).

Uso

Ejecute el script desde la Terminal, proporcionando la ruta al paquete .logarchive y parámetros opcionales de rango de tiempo:

Argumentos:

Configuración de zona horaria: El script incluye configuraciones de zona horaria en la parte superior, que puede modificar:

Ejemplos de comandos:

./airborne_artifact_extractor.sh /Volumes/ExternalHD/iOS_Logs/iPhone13_archive.logarchive

Analizar registros de las últimas 48 horas: Bash

./airborne_artifact_extractor.sh ./My_iPhone_Sysdiagnose.logarchive --last 48h

Analizar registros para un rango de fecha y hora específico (las horas se interpretarán según TZ_SETTING): Bash

Archivos de salida

El script creará un nuevo directorio llamado airborne_traces_AAAAMMDD_HHMMSS (donde AAAAMMDD_HHMMSS es la fecha y hora actuales) en el mismo directorio que el script (o en su directorio de trabajo actual si el directorio del script no es escribible). Dentro de esta carpeta, encontrará varios archivos .txt, cada uno conteniendo la salida de una consulta específica. Los nombres de archivo están prefijados con números para ordenarlos:

Interpretación de resultados

Contribuir

Siéntase libre de bifurcar este repositorio, sugerir mejoras, reportar problemas o agregar consultas más específicas que podrían ser útiles para identificar rastros de tales vulnerabilidades.