De multiples failles pour un jailbreak, Réactions à la publication du 07/02/2013

[Rédaction]

Maintenant que le jailbreak evasi0n est disponible, l'analyse du fonctionnement de l'outil donne de nombreux détails sur le fonctionnement de ce jailbreak, détails qui étaient jusqu'à présent jalousement gardés par les hackers, pour être certains que les failles nécessaires ne seraient pas corrigées par Apple dans iOS 6.1.

Il ressort de ces analyses que les hackers ont dû déployer des trésors d'ingéniosité pour exploiter plusieurs failles en série, jusqu'à parvenir au noyau du système.

La clé de la réussite est un bug dans le système de gestion des sauvegardes/restaurations d'iOS via iTunes, qui autorise à restaurer des liens symboliques pointant quasiment n'importe où dans l'arborescence système.

Ce bug est exploité une première fois pour injecter un lien symbolique de /var/mobile/Media/Recordings (dossier contenant normalement des fichiers audio) vers /var/mobile. Le processus peut ainsi profiter de ce lien symbolique pour restaurer une application dans /var/mobile, tout en faisant croire au processus de restauration qu'il s'agit d'un simple fichier média, qui subit des contrôles moins stricts.

Cette application ne contient pas de binaire, mais un faux script shell, dont la ligne définissant l'interpréteur est en fait une commande demandant à launchctl de remonter la partition système en lecture et en écriture, alors qu'elle est normalement montée en lecture seule. L'application comporte également un fichier positionnant la variable d'environnement LAUNCHD_SOCKET pour la faire pointer vers la socket UNIX du processus launchd de l'utilisateur root.

Après redémarrage, un nouveau backup est injecté, avec cette fois deux liens symboliques. Un premier vers /var/db, un second de /var/db/timezone (dont la création est rendue possible grâce au premier lien) vers /var/tmp/launchd. À ce stade, un second bug entre en jeu : affectant lockdownd, le service système traitant les commandes reçues par USB, ce bug provoque lors de l'envoi d'une certaine commande un changement de droits sur /var/db/timezone, le rendant exécutable par tous les utilisateurs. Vous l'aurez compris, grâce au lien symbolique précédément injecté, ce bug donne en fait le droit d'exécuter launchd.

Sur le même principe, le lien /var/db/timezone est modifié pour pointer vers /var/tmp/launchd/sock, et donner ainsi à tous les utilisateurs l'accès à la socket UNIX utilisée pour communiquer avec launchd.

L'utilisateur peut alors lancer l'application DemoApp. Comme elle ne contient pas de binaire, elle peut être exécutée bien qu'elle ne soit pas signée (de fait, il n'y a rien à signer...) et l'exécution de son script déclenche la commande launchtl décrite plus haut. Normalement, une application utilisateur qui appelle la commande launchtl va communiquer avec le processus launchd de l'utilisateur mobile... Mais pas avec DemoApp, qui surcharge la variable pointant vers la socket de launchd pour la faire mointer vers celle du processus launchd root. Cette opération est rendue possible grâce à la manipulation sur le fichier timezone, qui a donné à tous les utilisateurs l'accès à la socket du root.

L'exécution de DemoApp va ainsi permettre de remonter la partition système en la rendant accessible en écriture : c'est cette opération qui va permettre de rendre le jailbreak untethered, en allant modifier la partition système.

Il ne reste donc plus qu'à faire ces modifications, ce qui va être fait, encore une fois, via une injection de liens symboliques dans le processus de restauration. L'opération va créer un répertoire /var/evasi0n contenant une librairie amfi.dylib, un exécutable evasi0n et un nouveau fichier de configuration pour launchd (qui ira remplacer le fichier original via un lien symbolique). Ce nouveau fichier de configuration va permettre d'effectuer à chaque démarrage de l'appareil le remontage en lecture/écriture de la partition système, le chargement de la librairie amfi.dylib (qui sert à désactiver la vérification de signature du code), l'exécution du binaire evasi0n et la création d'un lien de /private/var/evasi0n/sock vers la socket root de launchd, pour la rendre accessible à toutes les applications.

Curieusement, la librairie amfi.dylib fonctionne grâce à une astuce déjà documentée depuis plus de trois ans : elle ne contient aucun code exécutable, ce qui lui permet d'être chargé sans vérification de signature, mais elle redéfinit les fonctions de validation de signature en les remplaçant par d'autres fonctions de l'API iOS. Par exemple, la fonction MISValidateSignature est redirigée vers une autre fonction renvoyant toujours 0, la valeur de retour de MISValidateSignature quand une application est correctement signée.

 

Vu la complexité de l'ensemble du processus, on ne peut que saluer le travail des hackers, qui ont dû se casser les dents sur iOS pendant un bon paquet de fois avant de parvenir à trouver cet enchaînement parfait. Et on comprend mieux pourquoi ils ont tenu à attendre la sortie d'iOS 6.1, les failles en jeu n'étant probablement pas très difficiles à corriger. Le simple fait de vérifier que le processus de restauration ne tente pas de créer des liens symboliques "suspects" permettrait par exemple de casser tout l'édifice.
Par Matthieu Sarter

[aslio]

J'ai pas tout compris, sinon que ce jailbreak est une véritable performance.

Je l'ai appliqué avec succès, pas pour pirater des apps car j'estime le modèle économique mis en place par Apple pertinent et honnête (il suffit de se rappeler le prix des jeux des consoles portables avant l'arrivée d'ios...) mais pour débloquer des fonctionnalités inexplicablement absentes d'os: accusés de réception, iblacklist, personnalisation de l'écran d'accueil...

Et je dois l'avouer: à la réception de mon iphone 5, une fois installé et restauré, il a pris le relais de feu mon iphone 4 sans autre fioritures. Contrairement à ses prédécesseurs, je ne l'ai ni admiré, ni manipulé à outrance: ses améliorations, même si bienvenues, restent vraiment timides. En revanche, l'application du JB a donné un nouvel attrait à mon iphone. Voilà, à mes yeux, quelque chose qui se rapproche de ce que devrait etrê iOS... aussi intuitif, mais un peu plus ouvert...

[chombier]

Maintenant que le jailbreak evasi0n est disponible, l'analyse du fonctionnement de l'outil donne de nombreux détails sur le fonctionnement de ce jailbreak, détails qui étaient jusqu'à présent jalousement gardés par les hackers, pour être certains que les failles nécessaires ne seraient pas corrigées par Apple dans iOS 6.1.


Il ressort de ces analyses que les hackers ont dû déployer des trésors d'ingéniosité pour exploiter plusieurs failles en série, jusqu'à parvenir au noyau du système.


La clé de la réussite est un bug dans le système de gestion des sauvegardes/restaurations d'iOS via iTunes, qui autorise à restaurer des liens symboliques pointant quasiment n'importe où dans l'arborescence système.


Ce bug est exploité une première fois pour injecter un lien symbolique de /var/mobile/Media/Recordings (dossier contenant normalement des fichiers audio) vers /var/mobile. Le processus peut ainsi profiter de ce lien symbolique pour restaurer une application dans /var/mobile, tout en faisant croire au processus de restauration qu'il s'agit d'un simple fichier média, qui subit des contrôles moins stricts.


Cette application ne contient pas de binaire, mais un faux script shell, dont la ligne définissant l'interpréteur est en fait une commande demandant à launchctl de remonter la partition système en lecture et en écriture, alors qu'elle est normalement montée en lecture seule. L'application comporte également un fichier positionnant la variable d'environnement LAUNCHD_SOCKET pour la faire pointer vers la socket UNIX du processus launchd de l'utilisateur root.


Après redémarrage, un nouveau backup est injecté, avec cette fois deux liens symboliques. Un premier vers /var/db, un second de /var/db/timezone (dont la création est rendue possible grâce au premier lien) vers /var/tmp/launchd. À ce stade, un second bug entre en jeu : affectant lockdownd, le service système traitant les commandes reçues par USB, ce bug provoque lors de l'envoi d'une certaine commande un changement de droits sur /var/db/timezone, le rendant exécutables par tous les utilisateurs. Vous l'aurez compris, grâce au lien symbolique précédément injecté, ce bug donne en fait le droit d'exécuter launchd.


Sur le même principe, le lien /var/db/timezone est modifié pour pointer vers /var/tmp/launchd/sock, et donner ainsi à tous les utilisateurs l'accès à la socket UNIX utilisée pour communiquer avec launchd.


L'utilisateur peut alors lancer l'application DemoApp. Comme elle ne contient pas de binaire, elle peut être exécutée bien qu'elle ne soit pas signée (de fait, il n'y a rien à signer...) et l'exécution de son script déclenche la commande launchtl décrite plus haut. Normalement, une application utilisateur qui appelle la commande launchtl va communiquer avec le processus launchd de l'utilisateur mobile... Mais pas avec DemoApp, qui surcharge la variable pointant vers la socket de launchd pour la faire mointer vers celle du processus launchd root. Cette opération est rendue possible grâce à la manipulation sur le fichier timezone, qui a donné à tous les utilisateurs l'accès à la socket du root.


L'exécution de DemoApp va ainsi permettre de remonter la partition système en la rendant accessible en écriture : c'est cette opération qui va permettre de rendre le jailbreak untethered, en allant modifier la partition système.


Il ne reste donc plus qu'à faire ces modifications, ce qui va être fait, encore une fois, via une injection de liens symboliques dans le processus de restauration. L'opération va créer un répertoire /var/evasi0n contenant une librairie amfi.dylib, un exécutable evasi0n et un nouveau fichier de configuration pour launchd (qui ira remplacer le fichier original via un lien symbolique). Ce nouveau fichier de configuration va permettre d'effectuer à chaque démarrage de l'appareil le remontage en lecture/écriture de la partition système, le chargement de la librairie amfi.dylib (qui sert à désactiver la vérification de signature du code), l'exécution du binaire evasi0n et la création d'un lien de /private/var/evasi0n/sock vers la socket root de launchd, pour la rendre accessible à toutes les applications.


Curieusement, la librairie amfi.dylib fonctionne grâce à une astuce déjà documentée depuis plus de trois ans : elle ne contient aucun code exécutable, ce qui lui permet d'être chargé sans vérification de signature, mais elle redéfinit les fonctions de validation de signature en les remplaçants par d'autres fonctions de l'API iOS. Par exemple, la fonction MISValidateSignature est redirigée vers une autre fonction renvoyant toujours 0, la valeur de retour de MISValidateSignature quand une application est correctement signée.


 


Vu la complexité de l'ensemble du processus, on ne peut que saluer le travail des hackers, qui ont dû se casser les dents sur iOS pendant un bon paquet de fois avant de parvenir à trouver cet enchaînement parfait. Et on comprend mieux pourquoi ils ont tenu à attendre la sortie d'iOS 6.1, les failles en jeu n'étant probablement pas très difficiles à corriger. Le simple fait de vérifier que le processus de restauration ne tente pas de créer des liens symboliques "suspects" permettrait par exemple de casser tout l'édifice.
Par Matthieu Sarter

Il faut absolument qu'Apple bloque Apple.
Question de sécurité.

[pom-pom-pom]

ce que je ne comprends toujours pas, c'est qu'à coup de awesome et de amazing,
on n'a depuis le temps toujours pas d'accès officiel à la personnalisation de l'écran d'accueil, et toujours pas de système style SBsettings....

si un geek tout seul peut le développer, ça ne doit pas prendre beaucoup de temps à une bonne équipe d'ingé Apple de développer cela plutôt que de se fourvoyer dans un Map aléatoire...

[Akirami]

J'ai lu l'itw d'un des hackers à l'origine d'Evasi0n, un lyonnais, l'article est très interessant et l'on y apprend des trucs sympa notamment sur le fait qu'Apple n'est pas dupe, que d'après eux, il devient de plus en plus difficile de jailbreak iOS mais qu'en même temps à chaque nouvelle mouture d'iOS, ce sont de nouvelles failles qui sont aussi créees.

A lire ici : http://www.macg.co/unes/voir/132012/interv...hacker-ouvert/2

[Dan DT]

A espérer qu'après le JB ils ferment la porte derrière pour éviter l'entrée des malfaisants sur le même principe

[Guest_anonym_f196b720_*]

A espérer qu'après le JB ils ferment la porte derrière pour éviter l'entrée des malfaisants sur le même principe

Il peuvent pas faire le ménage en sortant, car sinon au reboot suivant l'iPhone ne serait plus jailbreake 😗

[almux]

Mazette! Bien qu'il faille avoir un esprit particulièrement tordu pour s'y retrouver: chapeau!

[Guest_anonym_8b8d481c_*]

Le résumé de cette super longue nouvelle c'est que les liens symboliques sont des trous, ca on le sait depuis longtemps qu'en mettant un lien symbolique dans un dossier de quelqu'un, ca peut le faire sortir, sur linux il y a meme un programe special apparmor qui surveile que personne ne sorte avec un lien symbolique de la ou il a droit d'aller, donc le rappeler ok mais apres les details du chemin précis du lien symbolique, starmatt, ca noie le poisson.

Ce message a été modifié par anonym_8b8d481c - 7 Feb 2013, 08:41.

[SartMatt]

A espérer qu'après le JB ils ferment la porte derrière pour éviter l'entrée des malfaisants sur le même principe

Ce jailbreak nécessite un accès physique à l'appareil, la faille n'est donc, en l'état, pas très dangereuse pour l'utilisateur lambda, et ne nécessite donc pas un colmatage.

apres les details du chemin précis du lien symbolique, starmatt, ca noie le poisson

Ce sont ces détails qui rendent justement la chose exploitable.
Parce que sans la faille de lockdownd, qui provoque un chmod 777 sur un fichier bien précis, la faille sur les liens symboliques ne serait quasiment d'aucune utilité : le lien symbolique conserve les droits d'accès du fichier vers lequel il pointe, donc si un fichier est en 600, t'auras beau faire un lien symbolique dessus, ça te donnera pas pour autant accès à ce fichier.

Quand à dire qu'AppArmor est "un programe special qui surveile que personne ne sorte avec un lien symbolique", c'est quand même assez réducteur sur le rôle d'AppArmor...

[ironseb]

Bravo, vraiment pas évident de se libérer des menottes Apple. Dire que d'ici peu de temps il faudra faire de même avec iOS X

[nicolas69001]

Monsieur Sergi est toujours au taquet quand il s'agit de critiquer les news de "notre" nouveau rédacteur! Dès que je vois les news de Mathieu, j'attends de voir où va porter la critique. Dès fois c'est très subtile!

Ce message a été modifié par nicolas69001 - 7 Feb 2013, 09:26.

[sergio_bzh]

En tous cas, belle perf des hackers, ce ne sont pas des manchots !

Et heureusement grâce à eux, je vais continuer à avoir un vrai smartphone , c.a.d. avec une personnalisation du LockScreen , avec SBSettings, ...

Quand on voit la pauvreté du LockScreen d'un iPhone non jailbreaké , ça fait peur ...

[amigafred91]

Merci a la team evasi0n.

Mon iPhone a NCSettings, et c'est monstrueux. SBSettings plantait depuis mon JB 6.01

Je vais garder mon 3GS encore quelques temps. Ensuite, ca sera du Wiko ^^

Je suis content d'avoir enfin, le mode avion a portée de main, et l'option "ne pas deranger".

Coool. Si Apple ne veux pas du JB, qu'ils nous sorte l'equivalent de SBSettings, car c'est vraiment l'option qui MANQUE.

Et qu'on puisse avoir acces a nos fichiers interne, genre MP3, depuis un pc fixe , et proteger l'acces avec le code du telephone

[iRed]

Et qu'on puisse avoir acces a nos fichiers interne, genre MP3, depuis un pc fixe , et proteger l'acces avec le code du telephone

-> http://fr.copytrans.net/copytransmanager.php et http://fr.copytrans.net/copytranscontacts.php si tu veux te libérer de la syncro via iTunes sous Windows

[ericb2]

J'applaudis à deux mains la subtilité du travail effectué pour le jailbreak, mais je me demande si c'est une bonne idée de publier la démarche qui a été utilisée ? Apple ne va pas se priver de multilplier la difficulté pour les prochaines versions ...

[SartMatt]

J'applaudis à deux mains la subtilité du travail effectué pour le jailbreak, mais je me demande si c'est une bonne idée de publier la démarche qui a été utilisée ? Apple ne va pas se priver de multilplier la difficulté pour les prochaines versions ...

T'inquiètes pas, publié ou non, Apple sait comment c'est fait, ça ne fait aucun doute que ses experts en sécurité ont décortiqué evasi0n pour voir comment il fonctionne.

C'est bien pour ça qu'ils ont attendu iOS 6.1 pour sortir le jailbreak, pour s'assurer que le 6.1 reste jailbreakable.

[iRed]

J'applaudis à deux mains la subtilité du travail effectué pour le jailbreak, mais je me demande si c'est une bonne idée de publier la démarche qui a été utilisée ? Apple ne va pas se priver de multilplier la difficulté pour les prochaines versions ...

Evasi0n a été rapidement désassemblé par les curieux (dont moi) et sans aucun doute par aussi Apple. Dévoiler son fonctionnement ne changera rien à ce niveau là.

Edit: grillé par Mat'

Ce message a été modifié par iRed - 7 Feb 2013, 11:26.

[YF-alubook]

Article bien écrit et qui permet de comprendre comment ça marche globalement.

Est-ce que quelqu'un ici pourrait mettre en lien pour renvoyer vers un article parlant des aspects juridiques du JailBreak.
Que risque-t-on ? A-t-on droit de le faire en France ? Peut-on revenir en arrière ?

J'ai entendu tout et son contraire.

Merci d'avance.

[maj] Ha désolé : c'est le sujet de la news précédente...

Ce message a été modifié par YF-alubook - 7 Feb 2013, 13:21.

[Fars]

Oui on peut tout a fait revenir en arriere, chose effectuée pour ma part hier, suite a un plantage du a une install foireuse depuis Cydia.... iPhone bloqué, restauration en mode DFU, et passage a 6.1 officiel, rejailbreak dans l'aprem si tout va bien

[r@net54]

ce que je ne comprends toujours pas, c'est qu'à coup de awesome et de amazing,
on n'a depuis le temps toujours pas d'accès officiel à la personnalisation de l'écran d'accueil, et toujours pas de système style SBsettings....

si un geek tout seul peut le développer, ça ne doit pas prendre beaucoup de temps à une bonne équipe d'ingé Apple de développer cela plutôt que de se fourvoyer dans un Map aléatoire...

Oui enfin les team du jailbreak et les acteurs de Cydia ne sont pas juste des geek, ce sont surtout des experts informatique chevronnés bien superieurs a beaucoup d'inge employes dans des grande entreprises... Donc ce qu'ils arrivent a faire n'est pas a la porte de tout pro, loin de la...

Apres, il ne faut pas oublier que les equipes de développement d'Apple, bien qu'elles comprennent beaucoup de gens compétents, si si, sont aussi soumises a des cahiers des charges, des nomenclatures, des objectifs,... qui entre en conflits avec la foulitudes des besoins particuliers emis par les utilisateurs. Une equipe de développement produit un logiciel qui va répondre au besoin de 80% de la population cible.
Il faut aussi constater que chaque version d'iOS integre des fonctions qui ont ete developpes avec succes sur Cydia.

Mais il est vrai que l'absence de SBSettings ou des accuses de réceptions, depuis le temps et l'unanimité, fait poser des questions...
Apres il y aussi beaucoup de fonctions de "personnalisation" qui dégradent les performances ou l'autonomie...

En tous cas bravo a l'ami Matthieu pour ce descriptif fouillé, ca c'est de la news de vrai bidouilleurs

[Fars]

Apparement le hackeur francais qui a bossé sur le jailbreak, fait partie de la creme mondiale en matiere de securité informatique...

[moarteen]

en tout cas le descriptif du jailbreak est passionant, merci de l'avoir decortique!

[prijker]

en tout cas le descriptif du jailbreak est passionant, merci de l'avoir decortique!

exactement! même si j'ai pas tout compris

[Guest_anonym_8b8d481c_*]

Monsieur Sergi est toujours au taquet quand il s'agit de critiquer les news de "notre" nouveau rédacteur! Dès que je vois les news de Mathieu, j'attends de voir où va porter la critique. Dès fois c'est très subtile!

Oh, c'est juste pour alimenter le buzz... Il est vrai que Starmat me fassine.

Parce que sans la faille de lockdownd, qui provoque un chmod 777 sur un fichier bien précis, la faille sur les liens symboliques ne serait quasiment d'aucune utilité : le lien symbolique conserve les droits d'accès du fichier vers lequel il pointe, donc si un fichier est en 600, t'auras beau faire un lien symbolique dessus, ça te donnera pas pour autant accès à ce fichier.

Mais ca je n'ai pas compris en quoi consistait la faille << lockdownd >>. Ca vient du systeme de commandes par usb, ok. Ca a parmi de changer les droits d'un fichier, d'accord, mais le trou en question est du a quoi ? une commande toute simple chmod 777 qu'on peut envoyer via le truc usb sur n'importe quel fichier qui permet d'envoyer aussi es mv, des cp, des rm et compagnie ? une injection de commande encapsulée dans des string, etc ... L'idée est de savoir mis apart que le trou etait dans le systeme d'acces USB, qu'est ce qui est generique dans cette faille qui puisse etre utile au lecteur afin de connaitre le genre de faille ou il faut faire attention.

Ce message a été modifié par anonym_8b8d481c - 7 Feb 2013, 23:20.

[apoca]

Il est vrai que Starmat me fassine.

Il a tant de fassettes…

[SartMatt]

Mais ca je n'ai pas compris en quoi consistait la faille << lockdownd >>. Ca vient du systeme de commandes par usb, ok. Ca a parmi de changer les droits d'un fichier, d'accord, mais le trou en question est du a quoi ? une commande toute simple chmod 777 qu'on peut envoyer via le truc usb sur n'importe quel fichier qui permet d'envoyer aussi es mv, des cp, des rm et compagnie ? une injection de commande encapsulée dans des string, etc ...

Si on pouvait "envoyer via le truc usb sur n'importe quel fichier", crois-tu vraiment que les hackers se seraient emmerdés avec ce système de liens symboliques ?

lockdownd attend des commandes (pas des commandes shell, des commandes spécifiques au service lockdownd) envoyées via l'interface USB. Dans certains cas, une commande malformée (ou bien formée, selon le point de vue ) provoque un comportement anormal du service, qui résulte à faire un chmod 777 sur /var/db/timezone

Ceux qui ont analysé le fonctionnement du jailbreak n'ont pas donné plus de détail (y a un lien source dans la news, rien ne t'empêche de cliquer dessus pour aller demander plus d'informations...).

[AlbertRaccoon]

Il est vrai que Starmat me fassine.

Il a tant de fassettes…

Fassétieux, va !

[Guest_anonym_8b8d481c_*]

Il est vrai que Starmat me fassine.

Il a tant de fassettes…

Fassétieux, va !

Je suis d'accord avec vous.

[Guest_anonym_8b8d481c_*]

C'est quoi le top des applications installées qui necessitent le jailbreakc ?

Bref, j'ai jailbreacké mon iphone et maintenant j'installe quoi de cool ?

Ce message a été modifié par anonym_8b8d481c - 8 Feb 2013, 14:13.