levilutz/cve-2021-30860CVE-2021-30860(FORCEDENTRY) 익스플로잇의 증거를 스캔합니다.
CVE-2021-30860 (FORCEDENTRY)는 MacOS, iOS 및 WatchOS의 알려진 취약점입니다. 피해 기기에 "악의적으로 조작된 PDF"를 전송하여 임의 코드 실행을 허용합니다.
이 취약점은 2021년 9월 13일 Apple에 의해 다음 버전에서 패치되었습니다:
그러나 2021년 2월 또는 그 이전부터 실제 환경에서 악용되어 왔습니다.
MacOS 컴퓨터 또는 iPhone(Mac에 로컬 백업을 스캔하여)에서 과거 악용 증거를 탐지합니다. 이는 미래의 공격을 방어하거나 이전 공격의 영향을 되돌리기 위한 것이 아닙니다. 이는 Apple Watch 또는 iPad에서 과거 악용을 탐지하기 위한 것이 아닙니다.
여기에 두 가지 별개의 방법을 사용하여 이전 악용의 증거를 탐지합니다.
이 취약점을 사용하는 잘 알려진 공격 벡터는 SMS를 통해 악성 PDF 또는 PSD 파일(GIF로 잘못 레이블링됨)을 전송하는 것입니다. 여기 스크립트는 Mac 또는 iPhone 백업의 수신된 메시지 첨부 파일에서 GIF의 파일 시그니처와 일치하지 않는 ".gif" 파일을 스캔합니다. 파일을 수신했다고 해서 반드시 기기가 손상된 것은 아니라는 점에 유의해야 합니다. 특히 장치에 보안 업데이트가 설치된 후 파일을 수신한 경우라면 더욱 그렇습니다.
NSO Group이 이 취약점을 사용하여 수행한 공격에는 정리 단계에 최소 하나의 버그가 있었습니다. 특정 SQL 데이터베이스의 불일치로 iPhone에 증거가 남습니다. Citizenlab은 이 데이터베이스에 대한 간단한 SQL 쿼리로 관련 불일치를 탐지할 수 있음을 보여주었습니다.
python3 cve_scan.py를 실행하여 기본 옵션으로 스캔하거나 python3 cve_scan.py -h를 실행하여 도움말을 확인합니다.python3 cve_scan.py --mode macpython3 cve_scan.py --mode iphonepython3 cve_scan.py --mode iphone --method attachmentspython3 cve_scan.py --mode iphone --method datausagedbpython3 cve_scan.py --mode iphone --backups newest