新たなusbliter8 SecureROMエクスプロイト、iPhone 11 ProでiOS 27の脱獄を実現

usbliter8-funと名付けられた新しい開発者向けプロジェクトが、iPhone 11 Pro専用のiOS 27脱獄ワークフローを公開しています。これはusbliter8のSecureROMエクスプロイトと、独自のファームウェア復元プロセスを組み合わせたものです。

このプロトタイプはApple製A13搭載のiPhone 11 Proを対象としており、実験的かつ破壊的な性質を持つため、メインで使用する端末には向かないと明記されています。

新たなusbliter8 SecureROMエクスプロイト

本プロジェクトは、Apple A12およびA13向けのハードウェアに対して公開された、有線接続が必要なSecureROMエクスプロイト「usbliter8」をベースにしています。SecureROMとは、端末のシリコンチップに焼き込まれた不変のブートコードです。

この層でのエクスプロイトが成功してしまうと、通常のiOSアップデートでは完全に修復できません。研究者らは、根本的な原因がSynopsys製DesignWare USBコントローラーとブートチェーンの構成における挙動に関係していると特定しています。

これにより、特に攻撃者が端末に物理的にアクセスできる状況下で、DFUモードでのやり取り中に権限を持ったコードを実行できてしまいます。

リポジトリのドキュメントによると、現時点でこの実装がサポートするのは、iOS 27ベータ2（具体的にはビルド24A5370h）を実行しているiPhone 11 Proのみです。

このビルド識別子は、AppleのiOS 27デベロッパーベータ2リリースに対応するものです。プロジェクト側は、オフセットがビルドごとに異なる点を強調しており、他のファームウェアバージョンや端末モデルにこの手法を適用する前には、必ず個別に検証を行う必要があるとしています。

このエクスプロイトチェーンを実行するには、Raspberry Pi Pico 2のような、USB DFUエクスプロイトツールとして構成されたRP2350ベースの機器が必要です。

ハッキング＆クラッキング

対象端末がDFUモードに入り、エクスプロイトが「PWN DFU」状態に到達すると、本プロジェクトのワークフローが改変済みのIPSWを生成・復元します。続いて、独自のRAMディスクとSSHアクセスを使って、さらなる改変を行う仕組みです。

物理的なアクセスと有線接続を必要とするという条件があるため、リモートで悪用される可能性は大幅に限定されます。とはいえ、対応ハードウェアを扱うセキュリティ研究者や脱獄開発者にとっては、強力な機能を提供するものと言えます。

本プロジェクトで示されているカスタムファームウェアパッチは、iOSのセキュリティ制御をいくつか弱体化させることを狙っています。報告によれば、USB制限モードのチェックを回避し、/var/jbに対するサンドボックス制限を緩和するほか、AMFIのトラストキャッシュの挙動を変更し、一時的なストレージを有効化し、アクティベーション関連のコンポーネントも改変するとされています。

リポジトリでは、coreauthd、ctkd、mobileactivationd、launchdの構成といった主要なシステムサービスへの変更にも言及されています。これは、Secure Enclave Processorの機能不全に起因するセットアップ段階の失敗や、スクリーンタイム関連のセットアップ時のデッドロックを防ぐためのものです。

ただし、本プロジェクトには強い警告が付されています。カスタムファームウェアを復元すると端末のデータが消去される恐れがあり、パスコード機能、Wi-Fi、ベースバンドサービス、Bluetooth機能の一部、Appleのサービス、およびSecure Enclave Processorに依存する機能を含む主要機能が動作しなくなる可能性があります。

リポジトリではまた、エクスプロイト実行後のネットワーク接続について、改変後の状態では無線接続やセルラー接続が利用できない可能性があるため、USB経由のインターネット共有が必要になる場合があるとも記されています。

防御側にとって、usbliter8が浮き彫りにしているのは、ハードウェアに根差した脆弱性がもたらす長期的なセキュリティ上の影響です。物理的なアクセス、DFUモード、専用ハードウェア、そして対象端末が限られるという条件によって、企業にとっての直接的なリスクは低減されるものの、旧世代のA12/A13搭載Apple製端末を保有する組織は、無人状態の端末に対する管理策を必須事項として扱うべきです。

SecureROMクラスの脆弱性に対する実践的な緩和策としては、強固な物理セキュリティ、効果的な端末在庫管理、管理下端末に関するポリシーの整備、USBアクセスの制限、そして老朽化したハードウェアの迅速な入れ替えが挙げられます。

警告: 20を超える政府系サイトが、企業や市民にマルウェアを配布していました。 詳しい攻撃調査はこちら から確認し、自組織の露出状況をチェックしてください。