3h6-1/cve-2021-30862CVE-2021-30862の解説と概念実証、iOS iTunes Uにおける1クリックRCEバグ
2021年、CodeColorist氏はMistuned脆弱性に関する記事を公開しました。これはiTunes Storeに影響を及ぼす一連の脆弱性で、ワンクリックでのリモートコード実行を可能にします。特筆すべきは、メモリ破壊を伴わず、単なるロジックバグだけで電卓を起動させたことです。この時期、私はさまざまなアプリのURLスキームを調査していました。というのも、2年前にApp Storeのitms-services:// URLスキームに関するセキュリティ問題を報告していたからです。私が見つけた非常に類似したURLスキームの1つが、iTunes Uのitms-itunesu:// URLスキームでした。当時はこれがユーザー入力を許可しているとは知らず、単にアプリを開くためだけに使われるものと思っていましたが、後にそうではないことが判明しました。
彼の記事を読んで、特に目を引いたのは、Pwn2Own 2014でJung Hoon Lee氏がitmss://を使って行ったサンドボックスエスケープでした。当時、iTunes Storeは任意のURLを受け付け、Apple製でなくてもそれらをSUWebViewに喜んで読み込んでいました（CVE-2014-8840）。ここで、私がどこに向かっているかお分かりかもしれません。itmss://がiTunes UのURLスキームと非常に似ていることに気づき、iTunes Uがgoogle.comをWebビューに読み込むかどうか試してみることにしました。そして案の定、読み込みました。次に、Mistunedバグで使われていたものと同じiTunes APIを使って電卓を起動させようと試みましたが、全く動作するとは思っていませんでした。しかし、私の最大の驚きは、それが動作したことです。iTunes StoreとiTunes Uの両方が同じAPIを共有していることが判明しました。では、MistunedのUAFはどうでしょうか？それもiTunes Uに存在していましたか？実際に存在しており、メモリの二重解放によってiTunes Uをクラッシュさせる概念実証（POC_6.html）を作成することができました。Appleに送付したPOCの一部と、Mistunedの記事を参考にしてこの脆弱性からfakeobj/addrofプリミティブを作成しようとした試み（main.js）も添付しました。ただ、記憶が正しければfakeobjプリミティブは完全には動作しなかったと思います。これらの脆弱性の影響の詳細についてはCodeColorist氏の記事をお読みください。簡単に言えば、被害者から大量の機密データを取得できるほか、1クリックでのRCEの可能性もあります。
