bazad/iofirewirefamily-overflowCVE-2016-7608: IOFireWireFamily のバッファオーバーフロー
IOFireWireFamily-overflow は、CVE-2016-7608 の概念実証エクスプロイトです。IOFireWireUserClient のバッファオーバーフローで、macOS Sierra 10.12.2 で修正されました。この脆弱性は、FireWire ポートを持つデバイスでサービス拒否や任意のコード実行を引き起こす可能性があります。
AppleFWOHCI::updateROM メソッドは、AppleFWOHCI_IOMemoryBlock32::create を使用して割り当てられた固定サイズのメモリ領域に内容を bcopy する前に、OSData 引数の長さをチェックしません。
このエクスプロイトは、IOFireWireUserClient のインスタンスを使用してトリガーできます。localConfigDirectory_Create メソッドを呼び出すと、IOLocalConfigDirectory へのハンドルが得られます。localConfigDirectory_addEntry_Buffer メソッドを使用して、任意のデータをこのディレクトリオブジェクトに追加できます。このメソッドは、32 ビットの size パラメータの制限を超えてデータサイズを制限しません。最後に、localConfigDirectory_Publish を呼び出すことでエクスプロイトをトリガーでき、最終的に IOFireWireController::UpdateROM が呼び出されます。UpdateROM は、先ほど追加したユーザー制御のデータを含む、コンパイルされた ROM を表す OSData オブジェクトを作成します。次に、OSData オブジェクトを AppleFWOHCI::updateROM に渡し、fpNextConfigROM が指すメモリ領域にデータをコピーします。これは、AppleFWOHCI::setupAsync 内で AppleFWOHCI_IOMemoryBlock32::create を使用して割り当てられた 4096 バイトのメモリ領域です。localConfigDirectory_addEntry_Buffer に 4096 バイトを超えるデータが渡された場合、書き込みはこの割り当てを超えて後続のページにオーバーフローします。
実際には、オーバーフローしたバッファの次のページは通常マッピングされておらず、オーバーフロー時にカーネルパニックを引き起こします。
IOFireWireFamily-overflow コードはパブリックドメインにリリースされています。礼儀として、このコードを参照または使用する場合は、私に帰属するようお願いします。
