搜索

[16365] 2021-01-26_CVE-2020-27897：APPLEMACOS内核OOB写入权限提升漏洞

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-18
2021-01-26_CVE-2020-27897：APPLEMACOS内核OOB写入权限提升漏洞 C V E - 2 0 2 0 - 2 7 8 9 7 ： A P P L E   M A C O S 内 核 O O B 写 入 权 限 提 升 漏 洞 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 1 - 2 6 漏 洞 概 述 漏 洞 概 述 就 在 前 几 天 ， Z e r o   D a y   I n i t i a t i v e 曾 发 布 过 六 份 关 于 苹 果 m a c O S 中 安 全 漏 洞 的 公 告 ， 其 中 有 一 条 公 告 涵 盖 了 一 个 由   A B C   R e s e a r c h   s . r . o 报 告 的 安 全 漏 洞 ， 这 个 漏 洞 是 苹 果 硬 件 G P U 的 设 计 缺 陷 ， 这 也 是 他 们 所 提 交 的 众 多 m a c O S 漏 洞 的 其 中 一 个 。 现 在 ， 这 些 漏 洞 已 经 在 B i g   S u r 中 被 修 复 了 ， 因 此 在 这 篇 文 章 中 ， 我 们 将 详 细 介 绍 关 于 漏 洞 Z D I - 2 0 - 1 4 0 3 / C V E - 2 0 2 0 - 2 7 8 9 7 的 细 节 信 息 ， 而 这 个 漏 洞 将 有 可 能 允 许 攻 击 者 实 现 提 权 并 在 内 核 上 下 文 场 景 中 执 行 任 意 代 码 。 某 些 型 号 的 M a c B o o k 带 有 I n t e l 图 形 模 块 ， 而 m a c O S 会 使 用 内 核 扩 展 来 管 理 它 们 ， 其 中 一 个 名 为 A p p l e I n t e l K B L G r a p h i c s ， 我 们 具 体 讨 论 的 也 是 存 在 于 该 模 块 中 的 本 地 权 限 提 升 漏 洞 。 漏 洞 分 析 漏 洞 分 析 用 户 空 间 和 英 特 尔 内 核 驱 动 程 序 之 间 的 通 信 是 使 用 I O C o n n e c t C a l l M e t h o d 完 成 的 ， 而 I O C o n n e c t C a l l M e t h o d 最 终 还 会 使 用 M a c h 消 息 。 I n t e l M T R e n d e r F u n c t i o n s 是 一 个 类 ， 它 负 责 处 理 来 自 客 户 端 的 内 核 命 令 以 便 通 过 e x e c u t e ( ) 方 法 来 呈 现 U I 信 息 。 每 个 内 核 命 令 都 由 一 个 数 值 标 识 ， 在 我 们 的 例 子 中 ， 我 们 将 关 注 命 令 0 x 1 0 0 0 5 。 除 了 内 核 命 令 号 之 外 ， e x e c u t e ( ) 还 可 以 接 受 来 自 客 户 端 缓 冲 区 的 数 据 。 此 缓 冲 区 中 的 偏 移 量 用 于 生 成 结 构 地 址 的 算 术 运 算 ， 这 个 运 算 操 作 会 在 未 进 行 边 界 检 查 的 情 况 下 发 生 ， 并 触 发 越 界 写 入 漏 洞 。 对 于 代 码 路 径 I n t e l M T L R e n d e r F u n c t i o n s : : e x e c u t e ( ) 的 描 述 如 下 ： 用 户 空 间 客 户 端 可 以 通 过 调 用 I O A c c e l S h a r e d U s e r C l i e n t 2 : : c r e a t e _ s h m e m ( ) 函 数 创 建 两 个 共 享 内 存 映 射 ， 该 函 数 由 另 一 个 内 核 扩 展 I O A c c e l e r a t o r F a m i l y 2 提 供 。 第 一 个 内 存 映 射 将 用 作 请 求 的 分 段 描 述 符 ， 而 第 二 个 内 存 映 射 包 含 一 个 命 令 缓 冲 区 。 c r e a t e _ s h m e m ( ) 函 数 将 使 用 唯 一 的 I D 注 册 映 射 并 返 回 它 们 ， 然 后 将 这 些 I D 与 内 核 命 令 缓 冲 区 一 起 传 递 给 I O A c c e l C o m m a n d Q u e u e : : s _ s u b m i t _ c o m m a n d _ b u f f e r s ( ) ， 这 个 内 核 命 令 缓 冲 区 的 大 致 结 构 （ 数 组 ） 如 下 所 示 ： 这 个 数 组 之 后 会 进 行 分 割 ， 最 终 将 以 一 个 内 核 命 令 传 递 给 I G A c c e l C o m m a n d Q u e u e : : p r o c e s s K e r n e l C o m m a n d ( ) ， 该 内 核 命 令 结 构 如 下 ： 接 下 来 ， 它 将 会 传 递 给 A p p l e I n t e l K B L G r a p h i c s 中 的 I n t e l M T L R e n d e r F u n c t i o n s : : e x e c u t e ( ) 并 处 理 内 核 命 令 0 x 1 0 0 0 5 ： 下 面 给 出 的 是 针 对 该 漏 洞 的 利 用 下 面 给 出 的 是 针 对 该 漏 洞 的 利 用 P o C ： ： s t r u c t   c o m m a n d   {           u i n t 3 2 _ t   t y p e ;           u i n t 3 2 _ t   s i z e ;           u i n t 8 _ t   * c m d ;   } s t r u c t   c o m m a n d   {           u i n t 3 2 _ t         c m d _ i d ;                       / /   0 x 1 0 0 0 5           u i n t 3 2 _ t         s i z e ;                                       u i n t 3 2 _ t         o f f s e t ;                       / /   t h e   o f f s e t   t h a t   c a u s e s   n o   b o u n d a r y   c h e c k           u i n t 3 2 _ t         l o o p _ c o u n t e r ;               u i n t 3 2 _ t         z e r o 1 ;           u i n t 3 2 _ t         z e r o 2 ;           u i n t 3 2 _ t         c o n t r o l l e d _ v a l u e ;   / /   c o n t r o l l e d   v a l u e   w h i c h   c a n   b e   w r i t t e n   t o   t h e   o f f s e t           u i n t 3 2 _ t         z e r o 3 ;   } ;
总 结 总 结 内 核 驱 动 程 序 中 的 漏 洞 总 是 非 常 的 有 意 思 ， 它 们 的 攻 击 向 量 往 往 需 要 伴 随 远 程 代 码 执 行 漏 洞 。 一 旦 存 在 这 种 漏 洞 ， 那 么 将 有 可 能 导 致 目 标 设 备 完 全 被 攻 击 者 接 管 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理