CVE-2021-30860

CVE-2021-30860 (FORCEDENTRY) es una vulnerabilidad conocida en MacOS, iOS y WatchOS. Permite la ejecución arbitraria de código al enviar a un dispositivo víctima un "PDF manipulado maliciosamente".

Esta vulnerabilidad fue corregida por Apple el 13 de septiembre de 2021 con las siguientes versiones:

• iOS 14.8
• OSX Big Sur 11.6, Security Update 2021-005 Catalina
• WatchOS 7.6.2

Sin embargo, ha sido explotada activamente desde febrero de 2021 o antes.

Propósito

Detectar evidencia de explotación pasada en computadoras MacOS o iPhones (mediante el escaneo de una copia de seguridad local en un Mac). Esto no está pensado para defender contra ataques futuros ni para deshacer los efectos de un ataque previo. Esto no está pensado para detectar explotación pasada en Apple Watches o iPads.

Métodos

Aquí se utilizan dos métodos distintos para detectar evidencia de explotación previa.

Evidencia del ataque inicial

El vector de ataque más conocido que utiliza esta vulnerabilidad consiste en enviar archivos PDF o PSD maliciosos (etiquetados falsamente como GIF) por SMS. Los scripts aquí escanean los adjuntos de mensajes recibidos en una copia de seguridad de un Mac o iPhone en busca de archivos ".gif" cuya firma de archivo no coincide con la de un GIF. Vale la pena señalar que recibir los archivos no significa necesariamente que un dispositivo fue comprometido, especialmente si los archivos se recibieron después de que se instaló la actualización de seguridad en el dispositivo.

Limpieza imperfecta

Los ataques que NSO Group llevó a cabo utilizando esta vulnerabilidad tenían al menos un error en su fase de limpieza. La evidencia queda en un iPhone como una inconsistencia en una base de datos SQL concreta. Citizenlab demostró una consulta SQL simple sobre esta base de datos que puede detectar la inconsistencia relevante.

Requisitos

Requerido para todos los escaneos

• Una computadora con MacOS 11.0 o superior.
• Una instalación de Python 3.

Requerido solo para escaneos de iPhone

• Una copia de seguridad local completa sin cifrar del iPhone en cuestión.
• Una instalación de iPhone backup tools, utilizada para escanear copias de seguridad de iPhone.

Preparación y uso

1. Asegúrese de cumplir todos los requisitos.
2. Descargue este repositorio y navegue hasta su carpeta en la terminal.
3. Ejecute python3 cve_scan.py para escanear con las opciones predeterminadas, o python3 cve_scan.py -h para obtener ayuda.

Ejemplos

1. Escanear solo este Mac: python3 cve_scan.py --mode mac
2. Escanear solo una copia de seguridad de iPhone: python3 cve_scan.py --mode iphone
3. Escanear solo los mensajes de un iPhone: python3 cve_scan.py --mode iphone --method attachments
4. Escanear solo la base de datos datausage de un iPhone: python3 cve_scan.py --mode iphone --method datausagedb
5. Escanear la copia de seguridad de iPhone más reciente: python3 cve_scan.py --mode iphone --backups newest

Referencias

• Página de CVE de MITRE
• Documento de soporte de Apple
• Artículo de Citizenlab