Вектор атаки

Эксплойт работает путем создания вредоносного аудиофайла APAC с:

• Глобальное расположение каналов: 4 канала (определяет размер выделяемого массива)
• Расположение каналов переназначения: 64 канала (определяет количество итераций)
• Результат: 16-кратный выход за границы памяти при переназначении каналов

Доказательство концепции

Этот репозиторий содержит реализацию на Python, которая генерирует вредоносный APAC cookie, эксплуатирующий данную уязвимость.

Файлы

• poc.py - Основной генератор эксплойта
• generate_audio_simple.py - Генерация аудиофайлов
• caf_utils.py - Утилиты для манипуляции APAC cookie
• parser.py - Парсинг cookie и создание полезной нагрузки эксплойта
• test_exploit.py - Проверка и анализ эксплойта
• create_malicious_mp4.py - Генерация полезной нагрузки MP4

Использование

Скрипты генерируют:

• Безвредные тестовые аудиофайлы (WAV, M4A, CAF)
• exploit_cookie.dat - Вредоносный APAC cookie с несоответствием количества каналов
• malicious_apac.m4a - Завершенный MP4-файл, готовый к тестированию

Процесс эксплуатации

1. Создать несоответствие расположения каналов в APAC cookie (poc.py)
2. Проверить целостность полезной нагрузки (test_exploit.py)
3. Встроить cookie в аудиоконтейнер MP4/M4A (create_malicious_mp4.py)
4. Развернуть вредоносный файл в уязвимой системе
5. Запустить обработку через воспроизведение аудио (AVAudioPlayer, веб-браузер и т.д.)
6. Выход за границы памяти происходит в APACChannelRemapper::Process

Тестовая среда

Для проверки эксплойта на уязвимых системах:

• Цель: macOS < 15.4.1 или iOS < 18.4.1
• Инструменты: Xcode с включенным Guard Malloc
• Ожидаемый сбой: APACChannelRemapper::Process с EXC_BAD_ACCESS
• Отладка: Используйте LLDB для анализа закономерностей повреждения памяти

Воздействие и потенциал эксплуатации

Немедленные последствия

• Отказ в обслуживании: Гарантированный сбой при обработке вредоносного аудио
• Повреждение памяти: Операции чтения/записи за пределами границ
• Завершение приложения: Любое приложение, обрабатывающее вредоносное аудио, выйдет из строя

Продвинутая эксплуатация

При тщательной подготовке полезной нагрузки эту уязвимость потенциально можно использовать для:

Выполнение кода: Управляя операциями записи за пределами границ, злоумышленник может:

• Перезаписывать указатели на функции или записи виртуальных таблиц
• Повреждать метаданные кучи для достижения примитивов произвольной записи
• Комбинировать с другими уязвимостями для полного компрометации системы

Побег из песочницы: Поскольку CoreAudio работает в различных контекстах безопасности:

• Эксплуатация через браузер с помощью аудиоэлементов HTML5
• Эксплуатация через почтовые клиенты с помощью аудиовложений
• Эксплуатация системных служб в mediaserverd

Сценарии удаленных атак:

• Веб-атаки через вредоносный аудиоконтент
• Эксплуатация через приложения обмена сообщениями с помощью аудиовложений
• Атаки через электронную почту с вредоносными аудиофайлами
• Загрузка вредоносного медиаконтента без ведома пользователя

Векторы атак

• Веб-браузеры, обрабатывающие аудио/видео HTML5 с кодировкой APAC
• Медиаплееры и стриминговые приложения
• Приложения обмена сообщениями, обрабатывающие аудиовложения
• Почтовые клиенты, обрабатывающие мультимедийный контент
• Системные медиаслужбы, автоматически обрабатывающие аудиофайлы

Меры по смягчению

Apple устранила эту уязвимость в:

• iOS 18.4.1 (апрель 2025)
• macOS 15.4.1 (апрель 2025)

Исправление проверяет количество каналов между глобальным расположением и расположением переназначения перед обработкой, предотвращая несоответствие, вызывающее переполнение буфера.

Отказ от ответственности

Это доказательство концепции предоставлено только в образовательных и исследовательских целях. Оно демонстрирует критическую уязвимость безопасности в фреймворке CoreAudio от Apple, чтобы помочь исследователям безопасности понять механизмы атаки и улучшить защитные меры.