Triple-Fetch-Kernel-Creds

launchd से kernelcredentials और task_t pointer चुराने का प्रयास (आधारित: CVE-2017-7047)

Triple Fetch के बारे में (Google Project Zero के Ian Beer द्वारा)

Triple Fetch iOS 10.3.3 से पहले के iOS उपकरणों के लिए एक exploit है। यह libxpc में एक logic error का फायदा उठाता है जो हमलावरों को shared memory द्वारा समर्थित xpc_data ऑब्जेक्ट के साथ दुर्भावनापूर्ण संदेश भेजने की अनुमति देता है।

मूल exploit में क्या है

मूल exploit iOS पर एक निम्न-स्तरीय डेमन को लक्षित करता है जो NSXPC का उपयोग करता है। CoreAuthenticationd। exploit AMFID को पैच करता है ताकि arbitrary code execution की अनुमति मिल सके, और यह launchd के लिए एक send_right भी प्राप्त करता है, जिससे हम task_for_pid 1 कर सकते हैं। जो हमें सिस्टम के सबसे निचले डेमन, launchd पर पूर्ण अनुमतियाँ देता है।

exploit का उपयोग करके आप क्या प्राप्त कर सकते हैं

चूंकि exploit के साथ पहले से ही hello_world नामक एक उदाहरण आता है जो launchd टास्क का उपयोग करके memory regions (read/write/execute) के साथ launchd की मेमोरी डंप करने के लिए है। निम्नलिखित करना कठिन नहीं होगा:

• Launchd के पास बहुत सारे kernel credentials होते हैं। बाद में kernel patches करने के लिए उन्हें launchd से चुराया जा सकता है।
• Launchd के पास kernel send rights हैं। हाँ, launchd के पास kernel के लिए एक task_t pointer है। जो हमें task_for_pid 0 प्राप्त करने की एक आदर्श स्थिति देता है।

यह exploit हमारे पहले सोच से अधिक मूल्यवान क्यों है

चूंकि exploit सीधे userspace से चलता है और kernel को पैच किए बिना root प्राप्त करता है, इसलिए इस exploit का उपयोग jailbreak उद्देश्यों के लिए पूरी तरह से किया जा सकता है। हालाँकि, चूंकि यह bug एक race condition है जो शायद ही सही घटित होता है। उपयोगकर्ताओं को दोबारा jailbreak होने से पहले कई बार reboot-and-retry करना होगा।

योगदान

यदि आप रिपॉजिटरी में कोड योगदान करना चाहते हैं तो आप हमेशा एक pull request बना सकते हैं। हम भविष्य के kernel patches के लिए आवश्यक बहुत सारे offsets के साथ एक फ़ाइल जोड़ेंगे। हम ऐसे कोड पर काम करेंगे जो launchd के kernel credentials चुराने में मदद करे।

ट्रिक्स

Apple के VoIP API's का उपयोग करके हम exploit को प्रत्येक रिबूट के बाद पृष्ठभूमि में स्वचालित रूप से चलाने का प्रयास करेंगे। ऐप में एक अच्छा settings bundle जोड़ा जाएगा ताकि आप भविष्य में डाउनग्रेड उद्देश्यों के लिए settings ऐप से bootNonce सेट कर सकें। OTA अपडेट को अक्षम और सक्षम करने के लिए एक टॉगल जोड़ा जाएगा। cron jobs का उपयोग करके स्वचालित रूप से SHSH2-blobs सहेजने के लिए कोड जोड़ा जाएगा। मैं jailbreak में Settings से टॉगल करने योग्य tor को एकीकृत करने की पूरी कोशिश करूँगा, क्योंकि हर किसी को अपनी निजता की आवश्यकता होती है। मज़े के लिए एक content blocker जोड़ा गया है ताकि Safari में कष्टप्रद विज्ञापनों से छुटकारा मिल सके।

हम अकेले इसमें सफल नहीं हो सकते, हमें आपका समर्थन चाहिए!