Validazione Inadeguata degli Input in Siri Shortcuts e Shared Web Credentials

Scoperto da: Joseph Goydish II Data di scoperta: 20 agosto 2025 Gravità: Alta

Sommario Esecutivo

Questo rapporto descrive una catena di vulnerabilità ad alta gravità che interessa Siri Shortcuts e il framework Shared Web Credentials (SWC) di Apple. I difetti consentono l'esecuzione silenziosa in background di payload malformati, bypassando la validazione degli input, il sandboxing e i prompt utente. Questi flussi di lavoro persistono attraverso riavvii e riavvii dell'app e possono attivare demoni di sistema sensibili senza le dovute entitlement.

Conseguenze Principali

• Esecuzione silenziosa in background di flussi di lavoro Shortcut malformati
• Richieste non autorizzate di estensione sandbox da parte di demoni di sistema
• Tempeste di tentativi persistenti in swcd (osservati: 71+ tentativi)
• Degrado della fiducia TLS — le discrepanze dei certificati vengono tollerate
• Persistenza del flusso di lavoro dopo riavvio del dispositivo e riavvio dell'app

Contesto del Rilevamento

• Dispositivo: iPhone 14 Pro Max
• Versione sistema operativo: iOS 18.6.2
• Stato: In produzione (live)
• Stato sfruttamento: Comprovato, persistente e riproducibile

Componenti Interessati

Dettagli della Vulnerabilità

1. Analisi non corretta degli Shortcut

• Permette campi nulli (es. WFLinkEntityContentItem.title = null)
• Nessuna applicazione dello schema o comportamento fail-fast durante l'esecuzione

2. Esecuzione silenziosa in background

• Attivato tramite BackgroundShortcutRunner senza alcun prompt utente o indicatore visivo
• Elude i modelli di interazione utente previsti da Siri Shortcuts

3. Tempeste di tentativi in swcd

• Osservati 71+ tentativi su invii di JSON malformati
• Ignora le discrepanze dei certificati TLS, violando le aspettative di sicurezza

4. Richieste di estensione sandbox

• I demoni di sistema richiedono entitlement elevate basate su flussi di lavoro malformati
• Manca la validazione dell'origine e non impone i confini del sandbox

5. Persistenza del flusso di lavoro

• Flussi di lavoro malformati memorizzati in /var/mobile/Library/Shortcuts/
• Riattivati automaticamente al riavvio del dispositivo o al riavvio dell'applicazione

Vettori di Distribuzione

Istantanea dell'Artefatto (swcutil --show)

Output di esempio:

[swcd] Error: Received malformed JSON blob
[swcd] Retrying request... (71/∞)
[swcd] TLS validation failed: continuing without certificate trust

Raccomandazioni

• Implementare una validazione rigorosa dello schema per tutti i dati relativi agli Shortcut
• Applicare una corretta validazione dei certificati TLS nelle comunicazioni del servizio SWC
• Impedire a BackgroundShortcutRunner di eseguire flussi di lavoro non verificati
• Registrare e monitorare tutte le richieste di estensione sandbox per il rilevamento di anomalie
• Aggiungere controlli per impedire che flussi di lavoro malformati persistano dopo il riavvio

Conclusione

Questa vulnerabilità interessa una vasta parte dell'ecosistema Apple combinando logica di automazione, gestione delle credenziali e flussi di esecuzione in background. Senza controlli adeguati, gli aggressori potrebbero persistere con logiche furtive attraverso le sessioni di sistema e abusare dei confini di fiducia del sistema. È stato identificato uno sfruttamento in natura; la riproducibilità e le caratteristiche di persistenza aumentano considerevolmente il rischio.