bazad/sysctl_coalition_get_pid_list-dosCVE-2017-7173 : Déni de service local pour iOS nécessitant des privilèges root.
La fonction sysctl_coalition_get_pid_list dans bsd/kern/sys_coalition.c utilise la fonction coalition_get_pid_list pour collecter une liste de PID dans une coalition. Cette fonction retourne le nombre de PID en cas de succès ou un errno négatif en cas d'échec. Cependant, la fonction sysctl_coalition_get_pid_list ne vérifie pas correctement la condition d'erreur, ce qui signifie qu'elle tentera d'envoyer un nombre négatif de PID vers l'espace utilisateur via SYSCTL_OUT. Puisque le paramètre de longueur est un size_t, le résultat est un appel à copyout avec une valeur très large.
J'ai d'abord pensé qu'il s'agissait d'une fuite d'informations du noyau, car le noyau tenterait de copier depuis la pile vers un tampon d'espace utilisateur mais atteindrait finalement une page non mappée et annulerait la copie. Cependant, SYSCTL_OUT ne copie pas de valeurs partielles, et sur macOS, copyio abandonne tôt si l'adresse plus la taille dépasse la capacité. Cela rend ce bogue non exploitable sur macOS.
Cependant, sur iOS (ou du moins sur iOS 10.1.1), la fonction copyio déclenche une panique si l'adresse plus la taille dépasse la capacité. Cela signifie que ce bogue peut être utilisé pour un déni de service.
L'exploitation nécessite les privilèges root.
J'ai signalé ce problème à Apple le 21 septembre 2017. Il a été assigné CVE-2017-13833 CVE-2017-7173. Apple a corrigé les problèmes dans macOS 10.13.2 et iOS 11.2.
(Apple a depuis découvert que CVE-2017-13833 avait été précédemment attribué à un autre problème et a réattribué ce problème à CVE-2017-7173.)
Le code de sysctl_coalition_get_pid_list-dos est placé dans le domaine public. Par courtoisie, je demande que si vous référencez ou utilisez une partie de ce code, vous m'en attribuiez la paternité.
