airborn-IOS-CVE-2025-24252

Extracteur d'artefacts de journaux de vulnérabilités Airborne pour iOS depuis LogArchive CVE-2025-24252

Anton Shustikov est consultant en sécurité de l'information et en fintech avec une vaste expérience dans la création de systèmes de sécurité. Il est le fondateur du projet éducatif non commercial CakesCats et contribue par des articles à des publications comme Forbes et le magazine « Xakep ». Son travail implique souvent l'investigation de menaces numériques et la promotion d'une bonne hygiène numérique.

À propos des vulnérabilités « Airborne »

« Airborne » est le nom donné à un ensemble de vulnérabilités (découvertes par Oligo Security dans leurs recherches originales) affectant le protocole AirPlay d'Apple et le kit de développement logiciel (SDK) AirPlay. Ces vulnérabilités peuvent toucher une large gamme d'appareils Apple (iPhone, iPad, Mac, Apple TV, etc.) et des appareils tiers utilisant le SDK AirPlay (par exemple, enceintes connectées, récepteurs).

Aspects clés des vulnérabilités de type « Airborne » :

• Contexte de découverte : Les recherches originales sur « Airborne » ont été publiées par Oligo Security (plus de détails : https://www.oligo.security/blog/airborne). Ce script est conçu pour rechercher des artefacts forensiques généraux qui pourraient être liés à de telles vulnérabilités.
• Protocoles/composants concernés : Principalement Apple AirPlay, mais aussi des services associés comme Bonjour (mDNS) et rapportd qui gère la communication de dispositif à dispositif.
• Impact potentiel : Exécution de code à distance (RCE) (y compris les variantes zero-click et potentiellement auto-propagatrices), déni de service (DoS), contournement de liste de contrôle d'accès (ACL), divulgation d'informations et attaques de l'homme du milieu (MITM).
• CVE (exemples contextuels) : Bien que les numéros CVE spécifiques changent à chaque nouvelle découverte, la classe de vulnérabilités « Airborne » cible des défauts dans la façon dont AirPlay et les services réseau associés gèrent les données, l'appairage ou les connexions. Par exemple, des discussions hypothétiques antérieures pour cet outil ont envisagé des CVE comme CVE-2025-24252 (liée à des problèmes mDNS) ou CVE-2025-24132 (liée à des dépassements de tampon dans le SDK AirPlay). Les utilisateurs doivent toujours se référer aux détails CVE spécifiques et aux avis des éditeurs pour les vulnérabilités qu'ils étudient.
• Versions de système d'exploitation concernées (indication générale) : Généralement, les versions d'iOS, iPadOS, macOS, tvOS et des SDK AirPlay tiers antérieures aux correctifs publiés par Apple et les éditeurs respectifs en réponse aux divulgations de vulnérabilités spécifiques. Consultez toujours les mises à jour de sécurité officielles d'Apple et les avis des éditeurs pour connaître les versions corrigées.

Comment fonctionne cet outil

Ce script exécute une série de commandes log show avec des prédicats soigneusement élaborés. Ces prédicats sont conçus pour filtrer la vaste quantité d'informations contenues dans les journaux système iOS afin d'identifier les indicateurs potentiels de compromission ou d'activité anormale qui pourraient être liés aux vulnérabilités de type « Airborne ».

Le script recherche :

• Des plantages ou des erreurs dans les processus système critiques impliqués dans AirPlay, la diffusion multimédia, la découverte réseau et la communication de dispositif à dispositif (par exemple, mediaserverd, AirPlayXPCHelper, rapportd, mDNSResponder).
• Des erreurs spécifiquement journalisées par le sous-système AirPlay ou les services Bonjour/mDNS.
• Des événements de connexion réseau anormaux (par exemple, des réinitialisations de connexion inattendues, des échecs de connexion) signalés par les processus concernés.
• Des paniques du noyau, qui peuvent indiquer une instabilité système grave potentiellement causée par une exploitation.
• Une activité suspecte liée aux profils de configuration (en tant que vecteur général de post-exploitation).
• Des messages de violation de sandbox, qui pourraient indiquer qu'une exploitation tente de s'échapper de son environnement restreint.

La sortie de chaque requête est enregistrée dans un fichier texte séparé, nommé de manière descriptive, dans un répertoire de résultats horodaté, ce qui permet une analyse ciblée de différents types d'artefacts potentiels.

Prérequis

1. Environnement macOS : L'utilitaire log show et ce script sont destinés à être exécutés sur macOS.
2. Archive de journaux iOS (.logarchive) : Vous avez besoin d'une archive de journaux système iOS (un bundle, qui est techniquement un répertoire) provenant de l'appareil que vous souhaitez analyser. Elle peut généralement être obtenue via :
   • Xcode : Connectez l'appareil iOS à un Mac, ouvrez Xcode, allez dans Window -> Devices and Simulators, sélectionnez votre appareil, puis cliquez sur « View Device Logs » et « Export ».
   • sysdiagnose : Déclenchez une sysdiagnose sur l'iPhone (généralement en appuyant simultanément sur Volume Up + Volume Down + Bouton latéral, mais les combinaisons peuvent varier selon le modèle et la version d'iOS). Une fois la sysdiagnose générée (cela peut prendre plusieurs minutes), elle peut être envoyée par AirDrop à un Mac ou accessible lors de la synchronisation de l'iPhone avec un Mac (souvent dans Finder, à l'emplacement de synchronisation de l'iPhone, dans un fichier .tar.gz). Le .logarchive se trouvera dans le contenu extrait de la sysdiagnose.
3. Shell Bash : Le script est écrit pour bash.

Installation et exécution

1. Enregistrer le script : Enregistrez le code du script (fourni ci-dessus) sous le nom airborne_artifact_extractor.sh (ou tout autre nom avec une extension .sh).

2. Le rendre exécutable : Ouvrez votre application Terminal, accédez au répertoire où vous avez enregistré le script, puis exécutez la commande suivante :

   root@kitploit:~

   chmod +x airborne_artifact_extractor.sh
   

3. Vérifier l'attribut de quarantaine macOS (important pour les scripts téléchargés) : Si vous avez téléchargé ce script depuis Internet, macOS peut le mettre en quarantaine, ce qui peut l'empêcher de fonctionner correctement, voire de fonctionner du tout.

   • Pour vérifier si l'attribut de quarantaine est défini, exécutez :
     root@kitploit:~

     xattr airborne_artifact_extractor.sh
     

   • Si la sortie inclut com.apple.quarantine, supprimez cet attribut en exécutant :
     root@kitploit:~

     xattr -d com.apple.quarantine airborne_artifact_extractor.sh
     

   Si vous rencontrez toujours des problèmes pour exécuter le script, en particulier s'il se trouve dans un répertoire comme ~/Downloads, assurez-vous que votre application Terminal dispose des autorisations nécessaires (par exemple, « Accès au disque complet » dans Réglages Système -> Confidentialité et sécurité) pour accéder à l'emplacement du script et à l'archive de journaux.

Dépannage des problèmes d'exécution

Mauvais interpréteur ou erreurs ^M (par exemple, /bin/bash^M: bad interpreter: No such file or directory)

Si vous rencontrez une erreur comme bash: ./votre_nom_de_script.sh: /bin/bash^M: bad interpreter: No such file or directory, /usr/bin/env: ‘bash\r’: No such file or directory, ou des messages similaires impliquant les caractères \r ou ^M lors de l'exécution du script, cela est probablement dû à des fins de ligne au format Windows (CRLF - Carriage Return Line Feed) au lieu de fins de ligne au format Unix (LF - Line Feed).

Cela se produit généralement si le fichier du script a été créé ou modifié sur un système Windows, puis transféré vers macOS ou Linux sans convertir les fins de ligne. Les systèmes Unix attendent uniquement LF comme terminateur de ligne, et le caractère CR supplémentaire (\r ou ^M) est mal interprété comme faisant partie du chemin de l'interpréteur ou des commandes.

Solution : convertir les fins de ligne avec dos2unix

Le moyen le plus simple de résoudre ce problème est d'utiliser l'utilitaire dos2unix.

1. Installer dos2unix :

   • Sur macOS (avec Homebrew) : Si vous n'avez pas Homebrew, installez-le d'abord à partir de brew.sh. Puis exécutez :

     root@kitploit:~

     brew install dos2unix
     

   • Sur les distributions Linux basées sur Debian/Ubuntu :

     root@kitploit:~

     sudo apt update
     sudo apt install dos2unix
     

   • Sur les distributions Linux basées sur Fedora/RHEL :

     root@kitploit:~

     sudo dnf install dos2unix # (ou yum pour les versions plus anciennes)
     

2. Convertir le fichier du script : Accédez au répertoire contenant airborne_artifact_extractor.sh et exécutez :

   root@kitploit:~

   dos2unix airborne_artifact_extractor.sh
   

   Cette commande convertira les fins de ligne sur place.

Solutions alternatives (si dos2unix n'est pas disponible ou préféré) :

• Avec sed :

  root@kitploit:~

  sed -i.bak 's/\r$//' airborne_artifact_extractor.sh
  

  (Cette commande modifie le fichier sur place et crée une sauvegarde airborne_artifact_extractor.sh.bak. Sur certaines versions de sed, en particulier sur macOS, l'option -i nécessite une extension pour le fichier de sauvegarde, comme -i '.bak' ou -i '' pour aucune sauvegarde si pris en charge. Pour macOS, vous pourriez avoir besoin de sed -i '' 's/\r//g' airborne_artifact_extractor.sh)

• Avec tr :

  root@kitploit:~

  tr -d '\r' < airborne_artifact_extractor.sh > airborne_artifact_extractor_unix.sh
  chmod +x airborne_artifact_extractor_unix.sh
  # Utilisez ensuite airborne_artifact_extractor_unix.sh
  

• Éditeurs de texte : La plupart des éditeurs de texte modernes (comme VS Code, Sublime Text, Atom, Notepad++) permettent de changer les fins de ligne. Ouvrez le fichier du script, trouvez le paramètre des fins de ligne (généralement dans la barre d'état ou le menu Fichier/Édition), et changez-le de « CRLF » ou « Windows » à « LF » ou « Unix ». Puis enregistrez à nouveau le fichier.

Après avoir converti les fins de ligne, essayez d'exécuter à nouveau le script. N'oubliez pas de vous assurer également qu'il dispose des permissions d'exécution (chmod +x airborne_artifact_extractor.sh).

Utilisation

Exécutez le script depuis le Terminal, en fournissant le chemin vers le bundle .logarchive et des paramètres de plage horaire facultatifs :

Arguments :

Configuration du fuseau horaire : Le script inclut des paramètres de fuseau horaire en haut, que vous pouvez modifier :

Exemples de commandes :

./airborne_artifact_extractor.sh /Volumes/ExternalHD/iOS_Logs/iPhone13_archive.logarchive

Analyser les journaux des 48 dernières heures : Bash

./airborne_artifact_extractor.sh ./My_iPhone_Sysdiagnose.logarchive --last 48h

Analyser les journaux pour une plage horaire spécifique (les heures seront interprétées selon TZ_SETTING) : Bash

Fichiers de sortie

Le script créera un nouveau répertoire nommé airborne_traces_YYYYMMDD_HHMMSS (où YYYYMMDD_HHMMSS correspond à la date et à l'heure actuelles) dans le même répertoire que le script (ou dans votre répertoire de travail actuel si le répertoire du script n'est pas accessible en écriture). Dans ce dossier, vous trouverez plusieurs fichiers .txt, chacun contenant la sortie d'une requête spécifique. Les noms de fichiers sont préfixés par des numéros pour l'ordre :

Interprétation des résultats

Contribution

N'hésitez pas à forker ce dépôt, à suggérer des améliorations, à signaler des problèmes ou à ajouter des requêtes plus spécifiques qui pourraient aider à identifier les traces de telles vulnérabilités.