Vecteur d'attaque

L'exploit fonctionne en créant un fichier audio APAC malveillant avec :

• Disposition globale des canaux : 4 canaux (contrôle la taille d'allocation du tableau)
• Disposition des canaux de remappage : 64 canaux (contrôle le nombre d'itérations)
• Résultat : accès mémoire hors limites 16x lors du remappage des canaux

Preuve de concept

Ce dépôt contient une implémentation Python qui génère le cookie APAC malveillant exploitant cette vulnérabilité.

Fichiers

• poc.py - Générateur principal d'exploit
• generate_audio_simple.py - Génération de fichier audio
• caf_utils.py - Utilitaires de manipulation de cookie APAC
• parser.py - Analyse de cookie et création de charge utile d'exploit
• test_exploit.py - Vérification et analyse de l'exploit
• create_malicious_mp4.py - Génération de charge utile MP4

Utilisation

Les scripts génèrent :

• Fichiers audio de test bénins (WAV, M4A, CAF)
• exploit_cookie.dat - Cookie APAC malveillant avec décalage du nombre de canaux
• malicious_apac.m4a - Fichier MP4 armé prêt pour les tests

Processus d'exploitation

1. Créer un décalage de disposition des canaux dans le cookie APAC (poc.py)
2. Vérifier l'intégrité de la charge utile (test_exploit.py)
3. Intégrer le cookie dans un conteneur audio MP4/M4A (create_malicious_mp4.py)
4. Déployer le fichier malveillant sur le système vulnérable
5. Déclencher le traitement via la lecture audio (AVAudioPlayer, navigateur Web, etc.)
6. Un accès hors limites se produit dans APACChannelRemapper::Process

Environnement de test

Pour vérifier l'exploit sur les systèmes vulnérables :

• Cible : macOS < 15.4.1 ou iOS < 18.4.1
• Outils : Xcode avec Guard Malloc activé
• Plantage attendu : APACChannelRemapper::Process avec EXC_BAD_ACCESS
• Débogage : Utiliser LLDB pour examiner les motifs de corruption mémoire

Impact et potentiel d'exploitation

Effets immédiats

• Déni de service : Plantage garanti lors du traitement de l'audio malveillant
• Corruption mémoire : Opérations de lecture/écriture hors limites
• Arrêt de l'application : Toute application traitant l'audio malveillant plantera

Exploitation avancée

Avec une conception minutieuse de la charge utile, cette vulnérabilité pourrait potentiellement être exploitée pour :

Exécution de code : En contrôlant les opérations d'écriture hors limites, un attaquant pourrait :

• Écraser des pointeurs de fonction ou des entrées de table virtuelle
• Corrompre les métadonnées du tas pour obtenir des primitives d'écriture arbitraire
• Enchaîner avec d'autres vulnérabilités pour compromettre entièrement le système

Évitement du bac à sable : Étant donné que CoreAudio s'exécute dans divers contextes de sécurité :

• Exploitation via navigateur à l'aide d'éléments audio HTML5
• Exploitation via client de messagerie à l'aide de pièces jointes audio
• Exploitation de services système dans mediaserverd

Scénarios d'attaque à distance :

• Attaques basées sur le Web via du contenu audio malveillant
• Exploitation via application de messagerie via des messages audio en pièce jointe
• Attaques par courriel avec des fichiers audio malveillants
• Téléchargements furtifs de contenu multimédia malveillant

Vecteurs d'attaque

• Navigateurs Web traitant du contenu audio/vidéo HTML5 avec encodage APAC
• Lecteurs multimédia et applications de streaming
• Applications de messagerie gérant les pièces jointes audio
• Clients de messagerie traitant du contenu multimédia
• Services médias système traitant automatiquement les fichiers audio

Atténuation

Apple a corrigé cette vulnérabilité dans :

• iOS 18.4.1 (avril 2025)
• macOS 15.4.1 (avril 2025)

Le correctif valide les nombres de canaux entre les dispositions globale et de remappage avant le traitement, empêchant le décalage qui provoque le dépassement de tampon.

Avertissement

Cette preuve de concept est fournie à des fins éducatives et de recherche uniquement. Elle démontre une vulnérabilité de sécurité critique dans le framework CoreAudio d'Apple afin d'aider les chercheurs en sécurité à comprendre les mécanismes d'attaque et à améliorer les mesures défensives.