Se ha descubierto una nueva vulnerabilidad de BootROM denominada usbliter8 que afecta a dispositivos Apple con procesadores A12, S4/S5 y A13. Este exploit combina un fallo de hardware en el controlador USB Synopsys DWC2 con un error de configuración del firmware, lo que permite comprometer totalmente la cadena de arranque del procesador. Debido a que el código de la BootROM es inmutable, no es posible lanzar un parche de software para solucionar este problema.

Una nueva vulnerabilidad de BootROM, denominada usbliter8, afecta a los dispositivos Apple equipados con los SoC A12, S4/S5 y A13. El exploit encadena un error a nivel de hardware en el controlador USB Synopsys DWC2 con un fallo de configuración del firmware, lo que permite el compromiso total de la cadena de arranque del procesador de aplicaciones, sin que sea posible un parche de software debido a la naturaleza inmutable del código de la BootROM.

Según los investigadores de Paradigm Shift, la vulnerabilidad se origina en la forma en que el controlador USB DWC2 gestiona los paquetes de configuración (Setup) consecutivos.

El controlador almacena hasta tres paquetes Setup en la memoria antes de restablecer la dirección base de DMA (almacenada en el registro DOEPDMA) a su posición inicial, funcionando como un búfer circular.

El fallo crítico: después de cada escritura, el controlador incrementa DOEPDMA según el tamaño de los datos escritos, pero la operación de restablecimiento siempre lo decrementa en unos 24 bytes fijos.

Dado que el controlador también acepta paquetes más pequeños almacenados en trozos de 4 bytes, la aritmética de punteros falla. El desajuste entre el incremento variable y el decremento fijo produce una primitiva de underflow de búfer en pasos de 12 bytes, lo que permite escrituras controladas en regiones de memoria fuera del búfer previsto.

En los A12 y A13, el DART (Tabla de Resolución de Direcciones de Dispositivo) de USB está configurado en modo bypass dentro de SecureROM, lo que significa que no hay una barrera IOMMU que impida que el DMA sobrescriba datos arbitrarios de la SRAM. Las generaciones A14 y posteriores configuran el DART correctamente, lo que hace que la vulnerabilidad no sea explotable en hardware más reciente.

Diferencias de Explotación: A12 vs. A13

En el A12 y S4/S5, la explotación es relativamente sencilla. El búfer DMA se encuentra adyacente a la pila de tareas de USB en el heap. Los atacantes corrompen un Registro de Enlace (LR) guardado, ganando control del PC durante un cambio de contexto del planificador.

Una cadena ROP compacta redirige entonces las escrituras de DMA hacia el trampolín de arranque (boot trampoline), que normalmente no es escribible desde EL0, antes de saltar a la rutina de transición EL1 de SecureROM para ejecutar el shellcode del atacante con privilegios totales.

El A13 introduce la Autenticación de Punteros (PAC), lo que complica la corrupción directa del LR. Los investigadores desarrollaron una técnica de varios pasos que implica sobrescrituras controladas de los metadatos del heap de DART, neutralizando las protecciones de suma de comprobación (checksum) del heap y suprimiendo los reinicios por pánico al sobrescribir un contador global de pánico con una primitiva de escritura 0xF.

La ejecución se redirige finalmente a través de un gadget que carga un puntero de función desde una memoria controlada por el atacante, saltándose el PAC porque solo la clave IB está habilitada en el firmware, un descuido que resulta fatal.

Una vez lograda la ejecución de código EL1, el exploit inyecta un gestor de solicitudes USB personalizado en el espacio no utilizado del trampolín de arranque, parchea el número de serie del USB para incluir el identificador "PWND" y restaura las asignaciones corruptas del heap para mantener la estabilidad del dispositivo.

En el A13, el alcance de la corrupción de memoria requiere un reinicio completo de SecureROM; los investigadores copian la ROM en la SRAM, la remapean mediante tablas de traducción MMU personalizadas y enganchan la generación de PTE de la ROM para mantener la consistencia del espacio de direcciones durante el reinicio.

El gestor personalizado admite dos operaciones privilegiadas: la degradación del SoC (bajando temporalmente el modo de producción) y el arranque de iBoot no firmado (omitiendo toda la verificación de firmas en imágenes iBoot brutas), anulando efectivamente la cadena de Arranque Seguro de Apple.

Dispositivos Afectados y Mitigaciones

Los SoC confirmados como vulnerables incluyen:

• Apple A12 (iPhone XS, XR, iPad Pro 2018)
• Apple S4/S5 (Apple Watch Series 4/5)
• Apple A13 (serie iPhone 11)

Debido a que las vulnerabilidades de BootROM residen en el silicio inmutable, ninguna actualización de software o firmware puede solucionar el problema. Migrar a hardware A14 o posterior sigue siendo la única mitigación efectiva. Los investigadores señalan que el Procesador de Enclave Seguro (SEP) de Apple proporciona un límite de seguridad adicional, aunque usbliter8 abre vectores más amplios para atacar el Enclave Seguro indirectamente.

Paradigm Shift coordinó la divulgación con la Seguridad de Productos de Apple antes de la publicación. La prueba de concepto completa del exploit está disponible públicamente en su repositorio de investigación.

Fuentes:
https://cybersecuritynews.com/iphone-bootrom-vulnerability/