desc_race

Exploit "desc_race" (CVE-2021-30955) per iOS 15.0 - 15.1.1 (con primitive stabili di lettura/scrittura del kernel)

Metodo di Exploit

1. Aumenta la capacità dell'array IOSurfaceClient a 0x2000, l'obiettivo è scrivere un puntatore il cui contenuto sia totalmente controllato e poi usare le interfacce IOSurfaceRootUserClient per ottenere lettura/scrittura del kernel. La dimensione dell'array è 0x2000 * 8 byte quindi risiede nella mappa grande di KHEAP_KEXT, che è la stessa di KHEAP_DEFAULT.

2. Poi alloca un buffer del kernel di 0x4000 byte usando un kmsg assistente con un descrittore ool di 0x4000 byte che verrà sovrascritto dal retro. E poi innesca il bug con il messaggio allocato, chiamato kmsg a doppio copyin, posizionato subito dietro il buffer del kernel assistente. E questo messaggio contiene un descrittore di porte ool il cui conteggio è 0x2000 quindi sarà piuttosto vicino all'array IOSurfaceClient.

3. Poi dovresti ricevere il messaggio assistente. Se la race ha successo, il descrittore di porte ool verrà divulgato e potremmo individuare l'indirizzo dell'array IOSurfaceClient.

4. Poi alloca di nuovo un buffer del kernel di 0x4000 byte, questo occuperà il suddetto buffer del kernel. Questa volta costruisco un falso header kmsg con un body appropriato. Poi distruggo il kmsg a doppio copyin, il kernel inizierà con il nostro falso header. Uso un falso mach_msg_ool_descriotpor_t e innesco

vm_copy_discard() con una copia totalmente controllata. Durante la distruzione della copia, le righe più preziose sono in _vm_map_entry_unlink_ll:

1
2
3
4
5
6
#define _vm_map_entry_unlink_ll(hdr, entry)                             \
	MACRO_BEGIN                                                     \
	(hdr)->nentries--;                                              \
	(entry)->vme_next->vme_prev = (entry)->vme_prev;                \
	(entry)->vme_prev->vme_next = (entry)->vme_next;                \
	MACRO_END