iOS 27.0 beta 2を対象とした新たなジェイルブレイクが登場しました。usbliter8エクスプロイトチェーンを利用してPWN DFUモードを実現し、カスタムファームウェアを起動、さらにiPhone 11 Pro(iPhone12,3)でRoot SSHアクセスを有効化するというものです。
この公開はParadigm Shiftが開示したSecureROMの脆弱性を土台にしており、RP2350マイクロコントローラーを用いたハードウェアベースのエクスプロイト用リグを組み込んでいます。
このジェイルブレイクは、A12・A13チップ(およびApple WatchのS4/S5)に影響するSecureROMの欠陥を悪用し、外部デバイスから対象機器を強制的にPWN DFUモードへ移行させるものです。
研究者たちは、改造したLightningケーブルに接続したRaspberry Pi Pico 2を使用します。VBUS、GND、データ線のD+とD-を特定のGPIOピンに割り当て、USB経由でエクスプロイトを発生させる仕組みです。
ユーザーランドやカーネルのみを対象とする従来のジェイルブレイクとは異なり、この手法は物理的なハードウェアを必要とし、現時点では1機種のみに対応しています。ユーザーランドパッチのオフセットがビルド24A5370hに固定でハードコーディングされているためです。
このエクスプロイトチェーンは複数のシステムコンポーネントにパッチを適用し、Appleのセキュリティスタックを回避します。カーネルパッチによってリストアモードのチェックとサンドボックスのファイルマッピング制限を無効化し、/var/jbからの実行を可能にしています。
AMFIIsCDHashInTrustCache関数は無効化され、実質的にすべてのコード署名が信頼される状態になります。
coreauthdとctkdの両方にパッチが適用され、Secure Enclave Processor(SEP)のクラッシュを防止します。一方、mobileactivationdは改変され、Appleのアクティベーションサーバーを回避する「hacktivated(強制アクティベーション済み)」状態を強制的に作り出します。
また、launchdの無効化サービス上書き機能によって、初回起動時にScreenTimeAgentがSetup Assistantをデッドロックさせる問題も防いでいます。これは従来型のジェイルブレイクというより、開発専用のファームウェア回避策に近いものです。
このリストア処理を実行すると、Secure Enclave Processor(SEP)の機能、パスコードおよび生体認証によるセキュリティ、Wi-Fiとベースバンドの接続機能、そしてiMessage・iCloud・アクティベーションといった大半の標準的なAppleサービスが恒久的に使用不能になります。
Bluetoothは部分的にしか動作しません。研究者たちは、この手法をメイン機ではなく専用のスペア端末でのみ試すべきだと明確に警告しています。
usbliter8のアドバイザリによると、手順はまずPico 2製のリグを使ってPWN DFUモードを発生させることから始まり、続いてmake_cfw.pyとrestore_cfw.shを使ってカスタムファームウェアを書き込みます。
次にSSHランディスク(SSHRD)を起動してSEPチケットを抽出し、その後フルカスタムブートを実行します。最後に、起動後のパッチ処理によってSetup Assistantのアクティベーションチェックとスクリーンタイムチェックを回避します。
起動が完了すると、デフォルトパスワードのalpineを使ったdropbear SSH経由でRootアクセスが得られ、Cydia風のブートストラップを通じてパッケージマネージャーのSileoをサイドロードできるようになります。
開発者向けの研究用ツールという位置づけではあるものの、このエクスプロイトチェーンは、iOS 27.0 beta 2のような新しいiOSリリースであっても、A12・A13シリコンにおいてSecureROMレベルの脆弱性が依然として悪用可能であることを示しています。
物理的なPWN DFUアクセスに依存するという点で実際の攻撃対象範囲は限定されますが、これはAppleのブートチェーン信頼モデルに残る弱点を浮き立たせるものであり、セキュリティ研究者たちは今後のiOSビルドでファームウェアの堅牢化が完全に施される前から、その検証を続けています。
SOC調査の死角を排除し、ANY.RUNで脅威を早期に封じ込め、対応コストと業務への影響を軽減しましょう。
翻訳元: https://cyberpress.org/ios-27-jailbreak-boots-firmware-root-ssh-iphone-11-pro/
