Validazione Inadeguata degli Input in Siri Shortcuts e Shared Web Credentials

Scoperto da: Joseph Goydish II Data di scoperta: 20 agosto 2025 Gravità: Alta

---

Sommario Esecutivo

Questo rapporto descrive una catena di vulnerabilità ad alta gravità che interessa Siri Shortcuts e il framework Shared Web Credentials (SWC) di Apple. I difetti consentono l'esecuzione silenziosa in background di payload malformati, bypassando la validazione degli input, il sandboxing e i prompt utente. Questi flussi di lavoro persistono attraverso riavvii e riavvii dell'app e possono attivare demoni di sistema sensibili senza le dovute entitlement.

---

Conseguenze Principali

• Esecuzione silenziosa in background di flussi di lavoro Shortcut malformati
• Richieste non autorizzate di estensione sandbox da parte di demoni di sistema
• Tempeste di tentativi persistenti in swcd (osservati: 71+ tentativi)
• Degrado della fiducia TLS — le discrepanze dei certificati vengono tollerate
• Persistenza del flusso di lavoro dopo riavvio del dispositivo e riavvio dell'app

---

Contesto del Rilevamento

• Dispositivo: iPhone 14 Pro Max
• Versione sistema operativo: iOS 18.6.2
• Stato: In produzione (live)
• Stato sfruttamento: Comprovato, persistente e riproducibile

---

Componenti Interessati

Componente	Descrizione
com.apple.Shortcuts	Esegue payload malformati senza validazione
BackgroundShortcutRunner	Esegue flussi di lavoro silenziosamente in background
com.apple.siriknowledged	Emette richieste di estensione sandbox da flussi malformati
com.apple.swcd	Tenta ripetutamente JSON malformati e ignora errori TLS
searchd, symptomsd	Attivati senza entitlement tramite payload concatenati
iOS/macOS	Tutte le versioni che supportano Siri Shortcuts e SWC

---

Dettagli della Vulnerabilità

1. Analisi non corretta degli Shortcut

• Permette campi nulli (es. WFLinkEntityContentItem.title = null)
• Nessuna applicazione dello schema o comportamento fail-fast durante l'esecuzione

2. Esecuzione silenziosa in background

• Attivato tramite BackgroundShortcutRunner senza alcun prompt utente o indicatore visivo
• Elude i modelli di interazione utente previsti da Siri Shortcuts

3. Tempeste di tentativi in swcd

• Osservati 71+ tentativi su invii di JSON malformati
• Ignora le discrepanze dei certificati TLS, violando le aspettative di sicurezza

4. Richieste di estensione sandbox

• I demoni di sistema richiedono entitlement elevate basate su flussi di lavoro malformati
• Manca la validazione dell'origine e non impone i confini del sandbox

5. Persistenza del flusso di lavoro

• Flussi di lavoro malformati memorizzati in /var/mobile/Library/Shortcuts/
• Riattivati automaticamente al riavvio del dispositivo o al riavvio dell'applicazione

---

Vettori di Distribuzione

Vettore	Descrizione
Sincronizzazione Shortcut iCloud	Sincronizza silenziosamente flussi malformati tra dispositivi fidati
API MobileDevice	Consente l'iniezione di payload tramite interfacce iTunes/MDM
Profili di automazione	Abilita l'esecuzione temporizzata o basata su trigger senza consenso

---

Istantanea dell'Artefatto (swcutil --show)

Output di esempio:

[swcd] Error: Received malformed JSON blob
[swcd] Retrying request... (71/∞)
[swcd] TLS validation failed: continuing without certificate trust

---

Raccomandazioni

• Implementare una validazione rigorosa dello schema per tutti i dati relativi agli Shortcut
• Applicare una corretta validazione dei certificati TLS nelle comunicazioni del servizio SWC
• Impedire a BackgroundShortcutRunner di eseguire flussi di lavoro non verificati
• Registrare e monitorare tutte le richieste di estensione sandbox per il rilevamento di anomalie
• Aggiungere controlli per impedire che flussi di lavoro malformati persistano dopo il riavvio

---

Conclusione

Questa vulnerabilità interessa una vasta parte dell'ecosistema Apple combinando logica di automazione, gestione delle credenziali e flussi di esecuzione in background. Senza controlli adeguati, gli aggressori potrebbero persistere con logiche furtive attraverso le sessioni di sistema e abusare dei confini di fiducia del sistema. È stato identificato uno sfruttamento in natura; la riproducibilità e le caratteristiche di persistenza aumentano considerevolmente il rischio.