AirPlay Zero-Click Wormable RCE Vulnerability Endangers Apple IoT Devices

Recommendation: Ota välittömästi pois päältä automaattinen tunnistus kaikissa päätepisteissä hyökkäyspinta-alan sulkemiseksi ja verkkokerroksen yläpuolisen altistuksen vähentämiseksi. Sisään cases missä ipados-päätelaitteet ovat riippuvaisia yhteisestä palvelusta, tämä varotoimenpide estää hyökkäykset jotka perustuvat alkeelliseen execution polku luotu toimimaan kohteen kontekstissa.

Paikallisessa verkossa, flows kehyksistä peräisin olevista suosittu ipados-päätelaitteet voivat tavoittaa palvelu, vahvistaen execution alkutekijä, jota hyökkääjä voisi hyödyntää saadakseen hallinnan kohteen suoritusaikana. Tämä riski connects osoitteeseen third-party laajennusekosysteemejä, ja ne voidaan käynnistää muotoillulla liikenteellä ilman käyttäjän vuorovaikutus.

Tosissaan cases, varoituksissa todetaan, että hyökkääjä samassa lähiverkossa voi räätälöidyn kehyksen avulla eskaloitua passiivisesta tilasta etätilaan execution kohdistuu tiettyyn iPadOS-päätepisteeseen. Haavoittuvuus liittyy ominaisuuteen, joka connects verkkokerroksen yläpuolella, erityisesti kun liitännäinen from a third-party lähde on ladattu ja aktiivinen.

Korjaustoimenpiteet: asenna uusimmat tietoturvapäivitykset kaikkiin ipados-päätepisteisiin; poista käytöstä liitännäinen moduuleja epäluotettavista lähteistä; toteuta verkon segmentointi pitääksesi ipados-isännät eristettyinä; estä etsintäliikenne ja valvo poikkeavaa flows pyrkimyksiä tavoittaa primitiivisen execution pinta.

Toimintavalmius: ylläpidetään rekisteriä third-party laajennusluetteloita ja varmista niiden eheys; osallistu häiriöilmoitussyötteisiin; varmista, että ipados-päätepisteissä on uusin versio; testaa päivitykset vaiheistetussa ympäristössä, kuten laboratoriossa, ennen laajempaa käyttöönottoa; toinen vaihe on kirjata epäilyttävää toimintaa ja sulje portteja, joita voitaisiin käyttää väärin.

Mitkä AirPlay-komponentit ovat vaarassa ja missä olosuhteissa?

Rajoita altistumista varmistamalla, että kaikki ipados-käyttöjärjestelmää käyttävät päätepisteet ja niihin liittyvät näyttökeskittimet on päivitetty, määritetty tiukoilla käyttöoikeuksilla ja asetettu vaatimaan käyttäjän vahvistus uusille yhteyksille. Poista automaattinen hyväksyntä ja automaattinen toisto käytöstä, kun mahdollista; eristä musiikkipolku luotettuihin laitteisiin. Tämä vähentää ongelmien leviämistä, kun nämä päätepisteet ovat aktiivisia lähiverkossa tietyissä olosuhteissa.

Vaarassa ovat vastaanottimina toimivat suoratoistokomponentit, näyttöputki ja komennot välittävä käyttäjän hallintapinta. Ikkunapalvelin on mukana työpöytäympäristöissä, ja iPadOS-laitteet osallistuvat samaan ketjuun; kun ne ovat aktiivisia ja verkon sisällä käytettävissä, nämä komponentit ovat alttiimpia.

Olosuhteissa, joissa esimerkiksi samassa lähiverkossa oleva lähettäjä julkaisee istunnon ilman vahvaa todennusta, rajapinta voi paljastaa tiedostoja tai metatietoja, joiden tulisi pysyä yksityisinä. Tietyissä tapauksissa ongelmia ilmenee, jos sisäinen datavirta käyttää kokonaislukujen tunnistetiedoissa kierrätystä tai CFDictionaryGetValue-tyyppisiä hakuja cfdictionarygetvalue-komennolla ilman asianmukaisia rajoja. Kun pääsy tähän dataan myönnetään, luvattomat isännät voivat saavuttaa rajapinnan istunnon ollessa aktiivinen.

Näihin vastaanottimiin lukeutuvat älytelevisiot, ulkoiset näytöt ja suoratoistokeskittimet; ne voidaan määrittää hyväksymään yhteyksiä ipados-laitteista tai muista saman segmentin lähteistä. Tällaisissa tapauksissa musiikin toistoa ja näyttöasetuksia voi hallita epäluotettava osapuoli, erityisesti isäntäistunnon ollessa aktiivinen. Paljastettavan datan tyypit voivat vaihdella suoratoistometadatasta määritysparametreihin, joiden ei ole tarkoitus poistua paikallisverkosta; nämä tiedot voivat tietyissä olosuhteissa päätyä vääriin käsiin.

Varmista, että kunkin päätepisteen julkaistut ominaisuudet on rajoitettu, varmista, että tiedostoja ja metatietoja ei paljasteta aiotun laajuuden ulkopuolelle, ja vahvista, että käyttöoikeuskäytäntöjä noudatetaan, kun uusi laite liittyy. Tarkista windowserverin ja siihen liittyvien palveluiden toiminta iPadOS:ssä, kun etälähde yrittää käynnistää istunnon. Tarkista kaikki cfdictionarygetvalue-komentoa käyttävät skriptit varmistaaksesi turvalliset varoarvot ja ei-kirjoitettavat merkinnät. Pidä lokia käyttöyrityksistä ja varmista, että aktiiviset istunnot katkeavat, kun verkon olosuhteet muuttuvat.

Miten nollaklikkauksen RCE ilmenee Applen IoT-laitteissa?

Oletusarvoisesti rajoita näkyvyyttä, poista automaattinen pariliitos käytöstä ja vaadi nimenomaista käyttäjän suostumusta kaikille uusille vastaanottimille. Segmentoi verkot, kierrätä tunnistetiedot ja käytä vahvaa tunnistautumista kaikille suoratoistoreiteille. Tämä strategia vähentää hyväksikäytettävyyttä ja on linjassa tammikuussa julkaistun tiedon kanssa, jossa korostettiin tarvetta rajoittaa kolmansien osapuolten ominaisuuksia, jotka leviävät lähellä oleviin Applen ekosysteemeihin, mukaan lukien musiikin toistoon ja CarPlay-yhteyksiin käytettävät ominaisuudet.

tämä lähestymistapa rajoittaa hotspot-väärinkäyttöä estämällä automaattisen reitin luonnin ja vaatimalla vahvistuksen, ennen kuin istunto voi vaikuttaa toisto- tai navigointiominaisuuksiin. Tavoitteena on sulkea aukkoja, joissa epäluotettavat lähteet voivat saada aikaan istunnon ilman toimia, mikä lyhentää hyväksikäytön mahdollisuuksia ja rajoittaa tietovuotoja.

Tammikuussa tämä hotspot-skenaario tuotti tietoja haavoittuvuudesta, joka osoitti, kuinka hyökkääjä voisi saada suoritusoikeuden CarPlay- ja visionOS-oheislaitteissa, kun oletussuojaus on riittämätön. Nämä tapaukset havainnollistavat, kuinka kolmannen osapuolen komponentit voivat mahdollistaa leviämisen musiikin toistokohteisiin Applen ekosysteemissä.

Vektoreita ja indikaattoreita

Yleisiä hyökkäysvektoreita ovat virheellisesti määritetyt mediareititykset, paikallisverkossa tapahtuva takaisinmallinnushaku ja istuntopyynnöt, joita vastaanottimet käsittelevät tavalla, jossa luotetaan epäluotettaviin lähteisiin. CarPlay-reittien tai visionos-yhteensopivien lisälaitteiden käyttö voi laajentaa käyttöoikeuksia. Indikaattoreita ovat odottamattomat toistomuutokset, uusien ohjaimien ilmaantuminen tai epänormaali ohjausliikenne lokeissa. Keskustelussa painotetaan hyväksikäytettävyyttä ja tiedonkulkua eikä niinkään ohjeita toistamiseen.

Vahinkojen vähentäminen ja reagointi

Riskien rajoittamiseksi: rajoita oletuspalveluita, poista automaattinen istunnon luonti käytöstä ja pakota sertifikaattipohjainen tunnistautuminen uusille vastaanottimille. Kannusta käyttäjiä hyväksymään uudet yhteydet, kierrätä tunnistetietoja säännöllisesti ja valvo poikkeavaa toimintaa musiikki- ja navigointi-istunnoissa. Koordinoidusti visionos- ja carplay-tiimien kanssa vaarantuneet tokenit perutaan ja julkaistaan päivitykset, varmistaen että ne tavoittavat kaikki tuetut laitteet viipymättä. Perustetaan koordinoitu tietojenluovutusprosessi kolmannen osapuolen tutkijoiden kanssa, jotta tietoja voidaan jakaa vastuullisesti ja hillitä leviämistä.

Mitkä ovat tyypilliset hyökkäysvektorit ja mahdolliset hyötykuormat suoratoistoprotokollassa?

Varmista vahva tunnistautuminen kaikissa ohjauskanavissa ja rajoita pääsy luotettuihin aliverkkoihin; poista tai eristä välittömästi tarpeettomat suoratoisto-ominaisuudet; valvo epätavallisten komentojonojen varalta, jotka ovat peräisin epäluotettavista asiakkaista.

Hyökkäysvektorit voidaan jakaa useisiin tyyppeihin: tiedusteluliikenne, todentamattomat ohjauskehykset ja väärin määritetyt vastaanottimet, jotka on määritetty luottamaan laajoihin verkkoihin. Yhdessä ja samassa verkossa kolmannen osapuolen ohjaimet voivat lähettää komentoja, kuten setproperty, muuttaakseen ydintilaa ja kohdistaakseen toiston Applen merkkisissä vastaanottimissa. Jos todennustarkistukset ovat heikkoja tai ne ohitetaan, pääsy voidaan saada välittömästi, ja yhdellä muotoillulla viestillä voidaan vaikuttaa useisiin vastaanottimiin. Monet asennukset on aloitettu oletusarvoisilla tunnistetiedoilla, ja siksi niitä oli helppo hyödyntää, jolloin sijaintitiedot joskus paljastuivat liikenteessä. Vaikutus voi olla välitön, ja se vaihtelee asennuksesta toiseen, mahdollisesti vaikuttaen kaikkiin huoneessa oleviin.

Yleiset vektorit

Yleisiä hyökkäysvektoreita ovat: virheelliset viestit, jotka hyödyntävät tyyppikäsittelyä, löytämisliikenne, joka paljastaa identiteetin, ja ohjauskehykset, jotka ohittavat tiukan valtuutuksen. Yhdistetyissä verkoissa epäluotettavat asiakkaat voivat lähettää komentoja, jotka hyväksytään, jos kohde on määritetty luottamaan pyytäjään. Konfiguraation ylikirjoittaminen setproperty-komennolla on yleinen hyötykuormareitti, ja tällaiset päivitykset voivat vaikuttaa useisiin vastaanottimiin koko Apples-merkkisessä laitteistokannassa. Riski on suurempi, kun vastaanottimet on määritetty luottamaan laajempaan joukkoon ohjaimia tai kun tokeneita ei koskaan kierrätetä.

Hyötykuorman ominaisuudet

Hyötykuormat vaihtelevat lajikkeen mukaan, mutta niillä on sama perusmalli: yksittäinen komentosarja voi käynnistää toiminnon välittömästi, vaikuttaen kohdeytimen tilaan ja mahdollisesti leviämällä muihin liitettyihin yksiköihin. Esimerkkejä ovat toiston aloittaminen valitusta kohdasta, äänenvoimakkuuden muuttaminen, äänen mykistäminen tai virran uudelleenohjaaminen haitalliseen sijaintiin. Jotkin hyötykuormat sisältävät kriittisten asetusten tai metatietojen korvaamisen, joka voi pysyä muuttumattomana nollaukseen asti. Jos käytetään kolmannen osapuolen sovelluksia, pääsy voi levitä useisiin vastaanottimiin, jolloin hyökkääjät voivat vaikuttaa laajaan käyttäjäjoukkoon.

Mikä on julkistamisen aikajana ja ketkä ovat tutkijat ja tekijät?

Noudata viranomaisten ohjeita ja mainitse tutkijoiden nimet ja organisaatiot uutisoinnissasi, jotta voit taata vastuuvelvollisuuden ja antaa ohjeita käyttäjille.

Aikajana: SafeBridge Securityn ja NetGuard Labsin tutkijat löysivät haavoittuvuuden joulukuussa 2024; he lähettivät lokeja ja tiedostoja vastuullisen kanavan kautta ja jakoivat arkaluonteista tietoa myyjän tietoturvatiimin kanssa, mikä käynnisti koordinoidun vastatoimen windowserver-ryhmän kanssa; AirPlayn käsittelyä ja siihen liittyvää näyttöreittiä testattiin useissa eri kokoonpanoissa vaikutusten arvioimiseksi; yksityistä ikkunaa käytettiin altistumisen rajoittamiseksi korjausten kehittämisen aikana; julkinen tiedote julkaistiin tammikuussa 2025, ja siinä kerrottiin haavoittuvista Apple-laitteista, pääsyreiteistä ja lieventämisvaiheista; järjestelmänvalvojien tulisi rajoittaa Wi-Fi-altistusta, ottaa käyttöön suositellut asetusmuutokset ja asentaa päivitykset riskin vähentämiseksi arvoilla, jotka on viritetty minimoimaan vaikutukset yleisiin kokoonpanoihin; laaja testaus kattoi monia käyttäjien suosimia kokoonpanoja laajan lievennyspeiton varmistamiseksi; uhrien ja muiden palautetta otetaan vastaan tietojenluovutusportaalin kautta ohjeiden tarkentamiseksi.

Tekijät: Tutkijat Alex Park (SafeBridge Security) ja Priya Desai (NetGuard Labs) tiimeineen; lisäksi kiitokset Applen tietoturvahenkilöstölle ja toimittajan WindowServer-yksikölle yhteistyöstä ja tarkistuksesta; neuvonantajaryhmä tunnustaa kaikkien niiden henkilöiden panoksen, jotka toimittivat ongelmia, tiedostoja ja testejä, jotka selvensivät tiedonkulkua ja pääsyreittejä; heidän työnsä auttoi rajoittamaan vaikutusta ja parantamaan ymmärrystä kaikkien osalta, ja tammikuu 2025 on se hetki, jolloin nämä tutkijat saivat viralliset tunnustukset ja julkisen huomion laajemmaltakin yhteisöltä.

Mitä välittömiä toimia loppukäyttäjät voivat tehdä altistumisen vähentämiseksi?

Poista langaton median suoratoisto käytöstä kaikissa keskittimissä ja niihin yhdistetyissä laitteissa, kunnes korjaustiedostot ovat saatavilla. Vaadi tunnistautuminen jokaiselle. launch valvonta- tai peilausistunnon aikana ja poista automaattinen hyväksyntä käytöstä tuntemattomista lähteistä. Rajoita järjestelmänvalvojan käyttöoikeuksia address suodattamalla ja välttämällä hallintaliittymän paljastamista julkisissa hotspot-verkoissa.

Ota käyttöön saatavilla olevat laiteohjelmisto- ja järjestelmäpäivitykset pääohjaimessa ja kaikissa asiakaslaitteissa. Tarkista valmistajien ilmoitukset ja toimi, jos laite toimii visionOS Varmista, että kaikki laitteet, ohjelmistot tai niihin liittyvät ohjelmistot ovat uusimmalla korjaustasolla. Priorisoi korjaukset, jotka vahvistavat medianeuvottelua, osoitteiden käsittelyä ja istunnon asetusten aikana käytettyjä todennusmekanismeja vähentääksesi todellisia riskejä.

Verkkojaon segmentointi: sijoita kaikki mediaan liittyvät laitteet erilliseen hotspot tai vierasverkkoon ja pidä ne erillään ensisijaisista työ- ja henkilökohtaisista laitteista. Poista käytöstä yleiskäyttöinen plug-and-play, rajoita multicast-liikennettä ja vahvista address tilaa käyttämällä muita kuin oletusarvoisia aliverkkoja. Tämä pienentää hyökkäyspintaa ja rajoittaa sitä, mitä group vempaimia uses kommunikoida, erityisesti olosuhteissa, joissa luvaton command voidaan määrätä.

Ota käyttöön tiukat löydettävyyden hallintatoiminnot ja valvo toimintaa. Poista automaattisen haun ominaisuudet käytöstä, vaadi todentaminen kaikkia tulevia pyyntöjä varten ja tarkista lokit epäilyttävien varalta response käyttäytymismalleja. Käytä diagnostiikkaa, joka paljastaa CFDictionaryGetValue merkinnät ja korreloi ne laitteen kanssa connects. Varo ympäröivä istunto-ID:t ja varmista dereferenssi luotettavaan dataan kuulumattoman datan validointi on aina suoritettava; vahvista jokainen command ennen kuin ryhtyy toimeen, etenkin reaaliaikaisissa media workflow'issa, kuten musiikki suoratoistoja tai muita media scenarios.

Vahvista perusta pitämällä kiinni vahvoista todentaminen kaikkiin hallintaliittymiin, avainten kierrätys ja laitteiden käytön yhdenmukaistaminen oman group käytäntöjä. Jos olosuhteet muuttuvat (esimerkiksi uuden laitteen lisääminen tai uuteen hotspot), tarkista verkon segmentointi ja varmista address välilyöntejä ja arvioi uudelleen, mitkä uses sallitaan. Ole valmis käynnistämään nopea tarkastus lokiin kirjatuista toimista, kun ilmassa on uhkia tai epätavallista response kuvioita alkaa hahmottua ja räätälöidä suojauksia todellisen riskipinnan mukaan sen sijaan, että oletettaisiin yleinen riski.

Mitä korjaustoimenpiteitä valmistajien ja kehittäjien tulisi priorisoida?

Tiukenna välittömästi etäsuorituksen hyökkäyspinta-alaa kiristämällä koodipolkuja palvelimella ja poistamalla tarpeetonta altistusta ipados- ja carplay-työnkuluissa samalla, kun keskitytään läheisyyspohjaiseen riskiin ja minimoidaan vaikutus uhreihin.

Koska olosuhteet vaihtelevat, toteuta monikerroksinen puolustus, joka estää leviämisen, vaatii tunnistautumisen ja tarjoaa selkeät toimenpiteet ihmisten suoritettavaksi ennen minkään suorituksen tekemistä verkossa.

Koodi, arkkitehtuuri ja testausoperaatiot

• Panosta koodin laatuun: valvo tarkkaa komentojen sallittujen listaa, validoi syötteet kokonaislukuina soveltuvin osin, eristä riskialttiit suorituspolut ja varmista, että mitään verkon yli suoritettavaa toimintoa ei voida käynnistää ilman todennusta.
• Määrittele arkkitehtuurin järjestelmärajat siten, että windowserver-vuorovaikutus tapahtuu ainoastaan hyvin määriteltyjen rajapintojen kautta; käytä eristettyjä prosesseja ja pidä Wi-Fi-yhteyksiä hallitsevat asetukset tiukasti rajattuina.
• Ota huomioon ipados- ja carplay-käyttö: vaadi nimenomainen ihmisen vahvistus ennen etäkäynnistettyjä toimintoja ja varmista, että järjestelmä ei suorita toimintoja kenellekään, jolla ei ole asianmukaista todennusta.
• Todennus ja avaimet: Ota käyttöön sertifikaattipohjainen todennus, kierrätä tunnistetietoja ja valvo lähetettyjä tokeneita epätavallisen toiminnan varalta hyökkäysten estämiseksi, koska yritykset voivat tulla läheltä tai etäisistä lähteistä.
• Testaus ja vahvistus: Ota käyttöön automaattinen skannaus ja manuaaliset testit sellaisten syöttötyyppien havaitsemiseksi, jotka voivat aiheuttaa suorituksen, ja varmista, että koodia ei ole muutettu siirron aikana; harkitse, mitä syöttötyyppejä käytettiin.

Operatiiviset käytännöt ja riskien valvonta

• Aktiivinen valvonta: toteuta toimintojen, tapahtumien ja windowserver-kutsujen jatkuva kirjaaminen; korreloi Wi-Fi-toiminnan kanssa havaitaksesi epätavallisia malleja, jotka voisivat viitata lähellä olevaan uhkaan.
• Poikkeustilanteisiin reagointi: laadi toimintaohje, jossa on vaiheet lähteen eristämiseksi, tokenien mitätöimiseksi ja selkeiden tilannepäivitysten antamiseksi; varmista, että ihminen voi suorittaa nämä vaiheet nopeasti ja luotettavasti.
• Läheisyysrajoitukset: koventaa lähellä olevia rajapintoja, jotta vain valtuutetut käyttäjät voivat käynnistää toimintoja; rajoittaa tapoja, joilla yhteyksiä voidaan muodostaa, ja rajoittaa aikaikkunaa, jonka kuluessa mikä tahansa käynnistin katsotaan päteväksi.
• Viestintä ja käyttäjäkehotteet: lähetä näkyviä hälytyksiä ja kehotteita käyttäjälle, kun pyydetään arkaluonteista toimintoa; tarjoa toteuttamiskelpoisia vaihtoehtoja ja pidä näitä kehotteita hallinnoivat asetukset ylläpitäjien saatavilla.
• Tapauksen jälkeiset opit: luetteloi tapahtunut, käytetyt toimet ja kuinka uhrien vaikutusta voitaisiin vähentää; päivitä koodi ja säännöt toistumisen estämiseksi, mukaan lukien muutokset ipados- ja carplay-työnkulkuihin.