Böser Bug: „Unpatchbarer“ SoC-Fehler bis hoch zum iPhone 11

„checkm8“ ist wieder da, nur diesmal für neuere iPhones: Sicherheitsforscher von Paradigm Shift haben mit „usbliter8“ eine BootROM-Lücke in den Apple-Silicon-Chips A12 und A13 entdeckt, von denen sie ausgehen, dass Apple sie nicht beheben kann. Damit wären nicht zu behebende Jailbreaks und andere Angriffsformen bis hoch zum iPhone 11 möglich. Ein Proof-of-Concept-Exploit liegt bereits vor.

Ein Bug im USB-Controller

Die Idee hinter solchen weitreichenden Sicherheitslöchern liegt darin, dass sie in einem Teil der Hardware eines iPhone liegen, der „fest verdrahtet“ ist, sich also mittels Update oder anderer Maßnahmen nicht stopfen lassen. Das BootROM alias SecureROM ist jener Bereich, den ein iPhone vor jeglicher anderer Software bootet. „usbliter8“ nutzt nun einen Fehler, der im von Apple in seinen A12- und A13-Chip eingebauten USB-Controller steckt, schreibt Paradigm Shift.

Mithilfe spezieller Datenpakete soll es möglich sein, den Speicherpuffer der USB-Controller-Hardware zu manipulieren, um eine Speicherzugriffsausweitung zu erreichen, was dann zum Schreiben von Daten in Bereiche führt, die eigentlich nicht zugänglich sein sollten. „Da diese Sicherheitslücken in unveränderlichem Code liegen, sollten betroffene Nutzer sich bewusst sein, dass die Umstellung auf neuere Hardware nach wie vor die wirksamste Abhilfemaßnahme darstellt.“ Der auf GitHub bereitgestellte Proof-of-Concept-Exploit nutzt ein Waveshare-USB-A-Bord, bei dem eine Hardware-Veränderung (Entfernung eines Kondensators) vorgenommen wurde. Es steckt wiederum in einem Mac oder PC, der Anschluss des iPhone erfolgt über Lightning (Tethered Exploit). Auch andere RP2350-Boards seien nutzbar. Der PoC-Exploit scheint noch kein vollwertiger Jailbreak zu sein, dieser dürfte jedoch schnell folgen.

Welche Geräte betroffen sind

Laut Paradigm Shift betrifft „usbliter8“ aktuell A12 und A13 sowie die Apple-Watch-SiPs S4 und S5. Paradigm Shift vermutet, dass auch der A12X/A12Z angreifbar ist, hat dies aber noch nicht umgesetzt. Beim A11 besteht das Problem hingegen nicht. Die Umgehung der Sicherheitsmaßnahmen beim A13 sei schwieriger als beim A12. Apple selbst soll nicht direkt für die Lücke verantwortlich sein, sondern der USB-Controller-Hersteller Synopsys. Die verwendete Baureihe sei der DWC2.

Der A12 steckt in iPhone XS, XS Max sowie XR, außerdem iPad mini (5. Generation), iPad Air (3. Generation) und iPad 8, plus Apple TV 4K (2. Generation). A12X und A12Z, für die es später Exploits geben könnte, werden im iPad Pro 11 (1. und 2. Generation), iPad Pro 12,9 (3. und 4. Generation) sowie in Apples Developer Transition Kit (DTKI für die Arbeit an ersten Apple-Silicon-Apps für den Mac verwendet. Der Apple A13 ist im iPhone 11, 11 Pro und 11 Pro Max sowie dem iPhone SE der 2. Generation eingebaut. Hinzu kommen Standard-iPad der 9. Generation und das Apple Studio Display der 1. Generation. In der Praxis heißt dies, dass eine unpatchbare Lücke in vier iPhone-Modellen steckt, die noch für iOS 27 bereit sind: iPhone 11, 11 Pro, 11 Pro Max und SE 2. iPadOS 27 läuft wiederum noch auf drei betroffenen Modellen: iPad der 9. Generation sowie iPad Pro aus dem März 2020 (beide Größen).

(bsc)