Validation d’entrée inappropriée dans les raccourcis Siri et Shared Web Credentials

Découvert par : Joseph Goydish II
Date de découverte : 20 août 2025
Sévérité : Élevée

Résumé exécutif

Ce rapport décrit une chaîne de vulnérabilités de sévérité élevée affectant les raccourcis Siri d’Apple et le framework Shared Web Credentials (SWC). Ces défauts permettent à des charges utiles malformées de s’exécuter silencieusement en arrière-plan, en contournant la validation d’entrée, le sandboxing et les invites utilisateur. Ces workflows persistent après les redémarrages et les relancements et peuvent déclencher des daemons système sensibles sans entitlement approprié.

Conséquences clés

• Exécution silencieuse en arrière-plan de workflows Shortcut malformés
• Demandes d’extension de sandbox non autorisées émanant de daemons système
• Tempêtes de nouvelles tentatives persistantes dans swcd (71+ tentatives observées)
• Dégradation de la confiance TLS — les discordances de certificats sont tolérées
• Persistance des workflows après redémarrage et relancement de l’appareil

Contexte de détection

• Appareil : iPhone 14 Pro Max
• Version de l’OS : iOS 18.6.2
• État : En direct, sur le terrain (production)
• État de l’exploitation : Prouvée, persistante et reproductible

Composants affectés

Détails de la vulnérabilité

1. Analyse inappropriée des raccourcis

• Autorise les champs nuls (par ex., WFLinkEntityContentItem.title = null)
• Aucun contrôle de schéma ni comportement d’échec rapide pendant l’exécution

2. Exécution silencieuse en arrière-plan

• Déclenchement via BackgroundShortcutRunner sans invite utilisateur ni indicateur visuel
• Contourne les modèles d’interaction utilisateur prévus par Siri Shortcuts

3. Tempêtes de nouvelles tentatives dans swcd

• 71+ nouvelles tentatives observées lors de soumissions JSON malformées
• Ignore les discordances de certificats TLS, ce qui viole les attentes de sécurité

4. Demandes d’extension de sandbox

• Les daemons système demandent des entitlements élevés sur la base de workflows malformés
• Absence de validation de l’origine et incapacité à faire respecter les limites du sandbox

5. Persistance des workflows

• Workflows malformés stockés dans /var/mobile/Library/Shortcuts/
• Redéclenchés automatiquement après redémarrage de l’appareil ou relancement de l’application

Vecteurs de livraison

Instantané de l’artefact (swcutil --show)

Exemple de sortie :

[swcd] Error: Received malformed JSON blob
[swcd] Retrying request... (71/∞)
[swcd] TLS validation failed: continuing without certificate trust

Recommandations

• Mettre en œuvre une validation stricte du schéma pour toutes les données liées aux raccourcis
• Imposer une validation appropriée des certificats TLS dans les communications du service SWC
• Empêcher BackgroundShortcutRunner d’exécuter des workflows non vérifiés
• Journaliser et surveiller toutes les demandes d’extension de sandbox pour la détection d’anomalies
• Ajouter des contrôles pour empêcher les workflows malformés de persister après redémarrage

Conclusion

Cette vulnérabilité affecte une grande partie de l’écosystème Apple en combinant logique d’automatisation, gestion des identifiants et flux d’exécution en arrière-plan. Sans contrôles appropriés, les attaquants peuvent être en mesure de maintenir des flux logiques furtifs à travers les sessions système et d’abuser des frontières de confiance du système. Une exploitation dans la nature a été identifiée ; les caractéristiques de reproductibilité et de persistance élèvent considérablement le risque.