bazad/sysctl_coalition_get_pid_list-dosCVE-2017-7173: 루트 권한이 필요한 iOS 로컬 서비스 거부.
bsd/kern/sys_coalition.c의 sysctl_coalition_get_pid_list 함수는 coalition_get_pid_list 함수를 사용하여 코얼리션 내의 PID 목록을 수집합니다. 이 함수는 성공 시 PID 수를 반환하고 실패 시 음수 errno를 반환합니다. 그러나 sysctl_coalition_get_pid_list 함수는 오류 조건을 제대로 확인하지 않아, SYSCTL_OUT을 통해 사용자 공간으로 음수 개수의 PID를 보내려고 시도합니다. 길이 매개변수는 size_t이므로 결과적으로 매우 큰 값을 가지고 copyout을 호출하게 됩니다.
처음에는 커널이 스택에서 사용자 공간 버퍼로 복사하려고 시도하지만 결국 매핑되지 않은 페이지에 도달하여 복사를 중단하기 때문에 이것이 커널 정보 유출이 될 것이라고 생각했습니다. 그러나 SYSCTL_OUT은 부분 값을 복사하지 않으며, macOS에서는 주소와 크기의 합이 감길 경우 copyio가 조기에 중단됩니다. 이로 인해 이 버그는 macOS에서 악용할 수 없습니다.
하지만 iOS에서는 (적어도 iOS 10.1.1에서는) 주소와 크기의 합이 감길 경우 copyio 함수가 패닉을 발생시킵니다. 이는 이 버그가 서비스 거부(denial-of-service)에 사용될 수 있음을 의미합니다.
악용에는 루트 권한이 필요합니다.
이 문제를 2017년 9월 21일에 Apple에 보고했습니다. CVE-2017-13833 CVE-2017-7173이 할당되었습니다. Apple은 macOS 10.13.2 및 iOS 11.2에서 문제를 수정했습니다.
(Apple은 이후 CVE-2017-13833이 다른 문제에 이미 할당되었음을 발견하고 이 문제에 CVE-2017-7173을 재할당했습니다.)
sysctl_coalition_get_pid_list-dos 코드는 퍼블릭 도메인으로 배포됩니다. 예의상 이 코드를 참조하거나 사용할 경우 저에게 출처를 밝혀 주시기 바랍니다.
