desc_race

Exploit « desc_race » (CVE-2021-30955) pour iOS 15.0 - 15.1.1 (avec primitives stables de lecture/écriture noyau)

Méthode d'exploitation

1. Augmenter la capacité du tableau IOSurfaceClient à 0x2000, l'objectif est d'écrire un pointeur dont le contenu est totalement contrôlé, puis d'utiliser les interfaces IOSurfaceRootUserClient pour obtenir une lecture/écriture noyau. La taille du tableau est de 0x2000 * 8 octets, il réside donc dans la grande map de KHEAP_KEXT, identique à KHEAP_DEFAULT.

2. Allouer ensuite un tampon noyau de 0x4000 octets à l'aide d'un kmsg assistant avec un descripteur ool de 0x4000 octets qui sera écrasé par l'arrière. Puis déclencher le bug avec le message alloué, appelé kmsg à double copyin, placé juste derrière le tampon noyau assistant. Ce message contient un descripteur de ports ool dont le compte est de 0x2000, il sera donc assez proche du tableau IOSurfaceClient.

3. Vous devriez ensuite recevoir le message assistant. Si la course réussit, le descripteur de ports ool sera divulgué et nous pourrons localiser l'adresse du tableau IOSurfaceClient.

4. Allouer à nouveau un tampon noyau de 0x4000 octets, qui occupera le tampon noyau susmentionné. Cette fois, je construis un faux en-tête kmsg avec un corps approprié. Puis je détruis le kmsg à double copyin, le noyau commencera avec notre faux en-tête. J'utilise un faux mach_msg_ool_descriotpor_t et je déclenche

vm_copy_discard() avec une copie totalement contrôlée. Lors de la destruction de la copie, les lignes les plus précieuses se trouvent dans _vm_map_entry_unlink_ll :

1
2
3
4
5
6
#define _vm_map_entry_unlink_ll(hdr, entry)                             \
	MACRO_BEGIN                                                     \
	(hdr)->nentries--;                                              \
	(entry)->vme_next->vme_prev = (entry)->vme_prev;                \
	(entry)->vme_prev->vme_next = (entry)->vme_next;                \
	MACRO_END