Siri 단축어 및 공유 웹 자격 증명에서의 부적절한 입력 검증

발견자: Joseph Goydish II 발견 날짜: 2025년 8월 20일 심각도: 높음

핵심 요약

이 보고서는 Apple의 Siri 단축어 및 공유 웹 자격 증명(SWC) 프레임워크에 영향을 미치는 높은 심각도의 취약점 체인을 설명합니다. 이 결함으로 인해 잘못된 형식의 페이로드가 백그라운드에서 조용히 실행되어 입력 검증, 샌드박싱 및 사용자 프롬프트를 우회할 수 있습니다. 이러한 워크플로는 재부팅 및 재실행 후에도 유지되며 적절한 권한 없이 민감한 시스템 데몬을 트리거할 수 있습니다.

주요 영향

잘못된 형식의 단축어 워크플로의 백그라운드 무음 실행
시스템 데몬의 승인되지 않은 샌드박스 확장 요청
swcd에서의 지속적인 재시도 폭풍(관찰: 71회 이상 재시도)
TLS 신뢰 수준 저하 — 인증서 불일치가 허용됨
장치 재부팅 및 재실행 후에도 워크플로 지속

탐지 컨텍스트

장치: iPhone 14 Pro Max
OS 버전: iOS 18.6.2
상태: 실사용 중, 현장(프로덕션)
악용 상태: 입증됨, 지속적, 재현 가능

영향을 받는 구성 요소

구성 요소	설명
com.apple.Shortcuts	검증 없이 잘못된 형식의 페이로드 실행
BackgroundShortcutRunner	백그라운드에서 워크플로를 조용히 실행
com.apple.siriknowledged	잘못된 형식의 워크플로에서 샌드박스 확장 요청 발행
com.apple.swcd	잘못된 형식의 JSON을 반복적으로 재시도하고 TLS 오류 무시
searchd, symptomsd	체인 페이로드를 통해 권한 없이 트리거됨
iOS/macOS	Siri 단축어 및 SWC를 지원하는 모든 버전

취약점 세부 정보

1. 부적절한 단축어 파싱

null 필드 허용(예: WFLinkEntityContentItem.title = null)
실행 중 스키마 적용 또는 빠른 실패(fail-fast) 동작 없음

2. 무음 백그라운드 실행

사용자 프롬프트나 시각적 표시 없이 BackgroundShortcutRunner를 통해 트리거
Siri 단축어가 의도한 사용자 상호 작용 모델 우회

3. `swcd`의 재시도 폭풍

잘못된 형식의 JSON 제출에 대해 71회 이상 재시도 관찰
TLS 인증서 불일치를 무시하여 보안 기대 위반

4. 샌드박스 확장 요청

시스템 데몬이 잘못된 형식의 워크플로를 기반으로 상승된 권한 요청
출처 검증 부재 및 샌드박스 경계 적용 실패

5. 워크플로 지속성

잘못된 형식의 워크플로가 /var/mobile/Library/Shortcuts/에 저장됨
장치 재부팅 또는 앱 재실행 시 자동으로 다시 트리거됨

전달 벡터

벡터	설명
iCloud Shortcut Sync	신뢰된 장치 간에 잘못된 형식의 워크플로를 조용히 동기화
MobileDevice API	iTunes/MDM 인터페이스를 통한 페이로드 주입 허용
Automation Profiles	동의 없이 시간 기반 또는 트리거 기반 실행 가능

아티팩트 스냅샷 (`swcutil --show`)

예제 출력:

[swcd] Error: Received malformed JSON blob
[swcd] Retrying request... (71/∞)
[swcd] TLS validation failed: continuing without certificate trust

권장 사항

모든 단축어 관련 데이터에 대한 엄격한 스키마 검증 구현
SWC 서비스 통신에서 적절한 TLS 인증서 검증 적용
BackgroundShortcutRunner가 검증되지 않은 워크플로를 실행하지 못하도록 차단
이상 탐지를 위해 모든 샌드박스 확장 요청 기록 및 모니터링
재부팅 후 잘못된 형식의 워크플로가 유지되지 않도록 제어 추가

결론

이 취약점은 자동화 로직, 자격 증명 처리 및 백그라운드 실행 흐름을 결합하여 Apple 생태계의 광범위한 부분에 영향을 미칩니다. 적절한 제어가 없으면 공격자는 시스템 세션 전반에 걸쳐 은밀한 로직 흐름을 유지하고 시스템 신뢰 경계를 남용할 수 있습니다. 실제 환경에서의 악용이 확인되었으며, 재현성과 지속성 특성으로 인해 위험이 상당히 증가합니다.

인기

iOS18.6.2-Persistent-Automation-Exploit-in-Siri-Shortcuts-and-Apple-SWC

인기