harryanon/poc-cve-2018-4327-and-cve-2018-4330Exploit proof-of-concept per le vulnerabilità dello stack Bluetooth di iOS CVE-2018-4327 e CVE-2018-4330, che consente il controllo del registro ARM PC su iPhone 6S tramite connessione a un dispositivo Bluetooth malevolo.
POC per CVE-2018-4327 (almeno credo, dato che CVE-2018-4327 e CVE-2018-4330 sono stati entrambi descritti da @SparkZheng, ma non viene specificato quale si riferisca a quale bug; dato che ha descritto questo per primo, faccio un'ipotesi).
Testato su iPhone 6S 11.3.1
Dovrebbe funzionare fino all'11.4
Ti permette di impostare il PC (versione ARM del registro IP) su un valore a tua scelta su SpringBoard e alcuni servizi.
Devi eseguire il codice e poi andare nel menu BT delle impostazioni e connetterti a un dispositivo. Se non funziona, spegni e riaccendi il BT.
Piuttosto fastidioso da sfruttare, ma mi è piaciuto, quindi ho voluto creare un POC e imparare lungo il percorso.
Ho usato il codice bluetoothdPoC di @raniXCH per gestire tutta la preparazione del messaggio Mach e l'invio al servizio BT e l'ho adattato per questo POC.
Ho usato jtool per trovare l'ordinale e altre cose.
Ho dovuto fare un po' di reverse engineering per trovare le dimensioni corrette dei messaggi.
crediti:
@SparkZheng - per la sua fantastica lezione al DEFCON 26.
@raniXCH - per l'eccellente presentazione all'HITB e il bluetoothdPoC.
Jonathan Levin - per il grande libro e jtool.
riferimenti:
http://www.newosxbook.com/tools/jtool.html - jtool che ho usato per trovare l'ordinale e altre cose.
https://www.weibo.com/ttarticle/p/show?id=2309404271293301154324 - materiale di @SparkZheng.
https://github.com/rani-i/bluetoothdPoC - codice POC di @raniXCH.
https://gsec.hitb.org/materials/sg2018/D2%20-%20The%20Road%20to%20iOS%20Sandbox%20Escape%20-%20Rani%20Idan.pdf - materiale di @raniXCH parte 1.
https://blog.zimperium.com/cve-2018-4087-poc-escaping-sandbox-misleading-bluetoothd/ - materiale di @raniXCH parte 2.
