CVE-2020-27930
Apple Multiple Products Memory Corruption Vulnerability
Beschreibung
CVE-2020-27930 ist eine Schwachstelle mit HIGH-Schweregrad durch Speicherkorruption in Apples FontParser-Komponente, die iOS, iPadOS, macOS und watchOS betrifft. Der Fehler liegt in der Verarbeitung von Schriftdateien, bei der eine bösartig erstellte Schrift Speicherkorruption auslösen kann, die zu beliebiger Code-Ausführung führt. Mit einem CVSS 3.1-Score von 7.8 wurde diese Schwachstelle in freier Wildbahn als Teil einer verketteten Attacke zusammen mit CVE-2020-27950 (Kernel-Speicher-Offenlegung) und CVE-2020-27932 (Kernel-Privilegien-Eskalation) ausgenutzt. Sie betrifft iOS vor 14.2 und 12.4.9, iPadOS vor 14.2, macOS vor Big Sur 11.0.1 und Catalina 10.15.7 Supplemental Update sowie mehrere watchOS-Versionen. CISA hat CVE-2020-27930 am 3. November 2021 in den KEV-Katalog aufgenommen. Der EPSS-Score von 0.47173 (97,63. Perzentil) weist auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| apple | ipados | < 14.2 |
| apple | iphone os | < 12.4.9; >= 14.0, < 14.2 |
| apple | mac os x | < 10.15.7 |
| apple | macos | >= 11.0, < 11.0.1 |
| apple | watchos | < 5.3.9; >= 6.0, < 6.2.9; >= 7.0, < 7.1 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/161294/Apple-Safari-Remote-Code-Execution.html(Third Party Advisory, VDB Entry)
- http://seclists.org/fulldisclosure/2020/Dec/32(Mailing List, Third Party Advisory)
- https://support.apple.com/en-us/HT211928(Vendor Advisory)
- https://support.apple.com/en-us/HT211929(Vendor Advisory)
- https://support.apple.com/en-us/HT211931(Vendor Advisory)
- https://support.apple.com/en-us/HT211940(Vendor Advisory)
- https://support.apple.com/en-us/HT211944(Vendor Advisory)
- https://support.apple.com/en-us/HT211945(Vendor Advisory)
- https://support.apple.com/en-us/HT211946(Vendor Advisory)
- https://support.apple.com/en-us/HT211947(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-27930(US Government Resource)
Schwachstellentyp
CWE-787: Out-of-bounds Write
Out-of-bounds Write ist eine Schwachstelle, die auftritt, wenn Software Daten an einen Speicherort außerhalb der beabsichtigten Grenzen eines Puffers schreibt. Dies kann durch Buffer Overflows, inkorrekte Array-Indizierung, Zeigerarithmetik-Fehler oder Integer Overflows bei Größenberechnungen auftreten. Out-of-bounds Writes sind extrem gefährlich, da sie angrenzende Daten korrumpieren, Kontrollflussinformationen überschreiben oder Heap-Metadaten beschädigen können.
Im Kontext von CVE-2020-27930 tritt der Out-of-bounds Write in Apples FontParser-Bibliothek während der Verarbeitung bösartig erstellter Schriftdaten auf. FontParser ist für das Parsen und Rendern verschiedener Schriftformate einschließlich TrueType und OpenType verantwortlich. Die Schwachstelle wird ausgelöst, wenn FontParser eine speziell präparierte Schriftdatei mit fehlerhaften Glyphen-Daten oder Font-Table-Einträgen verarbeitet. Die korrumpierten Schriftdaten veranlassen den Parser, über die allokierten Puffergrenzen hinaus zu schreiben und angrenzenden Heap-Speicher zu überschreiben. Angreifer können die Schriftdaten so gestalten, dass sie präzise kontrollieren, was wohin geschrieben wird, und Funktionszeiger oder andere Kontrolldatenstrukturen korrumpieren. Diese Schwachstelle wurde über Safari als initialen Einstiegspunkt ausgenutzt, wobei der Besuch einer bösartigen Webseite mit der präparierten Schrift die Speicherkorruption auslöste.
Mehr erfahren: CWE-787 — Out-of-bounds Write
Auswirkungsanalyse
CVE-2020-27930 hat einen CVSS 3.1 Base Score von 7.8 (HIGH) mit lokalen Angriffscharakteristiken.
Vertraulichkeit (Hoch): Erfolgreiche Ausnutzung ermöglicht beliebige Code-Ausführung im Kontext des Prozesses, der die bösartige Schrift parst. Bei Ausnutzung über Safari bietet dies Zugriff auf Browser-Daten einschließlich Cookies, gespeicherter Passwörter und Browserverlauf. In Kombination mit den Kernel-Schwachstellen CVE-2020-27950 und CVE-2020-27932 erlangt der Angreifer vollständigen Gerätezugriff einschließlich aller gespeicherten Daten, Nachrichten, Zugangsdaten und Mediendateien.
Integrität (Hoch): Beliebige Code-Ausführung ermöglicht dem Angreifer, Dateien zu modifizieren, persistente Backdoors zu installieren, Systemkonfigurationen zu ändern und Anwendungsdaten zu manipulieren. Der verkettete Ausnutzungspfad ermöglicht Änderungen auf Kernel-Ebene.
Verfügbarkeit (Hoch): Die Speicherkorruption kann während der Ausnutzungsversuche Anwendungsabstürze verursachen. Erfolgreiche Ausnutzung gewährt dem Angreifer die Fähigkeit, Prozesse zu beenden, Systemdateien zu beschädigen oder das Gerät funktionsunfähig zu machen.
Scope (Unchanged): Die Schwachstelle betrifft zunächst den FontParser-Prozesskontext. In Kombination mit den begleitenden Kernel-Schwachstellen erstreckt sich der Scope jedoch effektiv auf die vollständige Gerätekompromittierung mit Kernel-Level-Kontrolle.
Exploit-Reifegrad
Aktive Ausnutzung: CVE-2020-27930 wurde in freier Wildbahn als Teil einer ausgeklügelten Drei-Schwachstellen-Angriffskette aktiv ausgenutzt. Apple bestätigte das Wissen um die aktive Ausnutzung in seinem Sicherheitshinweis. CISA hat diese Schwachstelle am 3. November 2021 mit einer Behebungsfrist bis zum 3. Mai 2022 in den KEV-Katalog aufgenommen.
Exploit-Kette: Die Ausnutzung wurde als Teil einer Drei-Bug-Kette beobachtet, die auf Apple-Geräte abzielte. CVE-2020-27930 (FontParser-Speicherkorruption) diente als initialer Einstiegsvektor, typischerweise über eine bösartige Webseite in Safari. CVE-2020-27950 (Kernel-Speicher-Offenlegung) wurde dann verwendet, um Kernel-Speicheradressen zur Umgehung von KASLR zu leaken. Schließlich wurde CVE-2020-27932 für Kernel-Level-Code-Ausführung mit voller Gerätekontrolle genutzt.
Öffentliche Exploits: Ein Proof-of-Concept-Exploit für die Safari-Remote-Code-Execution-Komponente wurde auf Packet Storm Security veröffentlicht.
Ransomware-Verbindung: Der KEV-Katalog weist keine bekannte Ransomware-Verbindung aus.
EPSS-Kontext: Der EPSS-Score von 0.47173 (97,63. Perzentil) platziert diese Schwachstelle in den oberen 2,4% aller CVEs für Ausnutzungswahrscheinlichkeit.
Behebung
-
Alle Apple-Geräte sofort auf gepatchte Versionen aktualisieren. Installieren Sie iOS 14.2 oder höher (oder iOS 12.4.9 für Geräte, die iOS 14 nicht ausführen können), iPadOS 14.2 oder höher, macOS Big Sur 11.0.1, macOS Catalina 10.15.7 Supplemental Update, Security Update 2020-006 für High Sierra und Mojave sowie watchOS 7.1, 6.2.9 oder 5.3.9.
-
Web-zugängliche Geräte priorisieren. Da der Ausnutzungsvektor die Verarbeitung bösartiger Schriften über Webbrowser (Safari) umfasst, sollten Geräte für Webbrowsing und E-Mail die höchste Patch-Priorität erhalten.
-
Content-Filterung zur Blockierung bösartiger Schriftauslieferung einsetzen. Implementieren Sie Web-Content-Filterung am Netzwerkperimeter, um Anfragen für verdächtige Schriftdateien zu inspizieren und zu blockieren.
-
Systeme auf Kompromittierungsindikatoren prüfen. Suchen Sie nach unerwarteten Prozessen, ungewöhnlichen Netzwerkverbindungen und Anzeichen einer Kernel-Level-Kompromittierung auf Apple-Geräten.
-
Mobile Device Management für Compliance-Durchsetzung nutzen. Setzen Sie MDM-Richtlinien ein, die Mindest-OS-Versionen über alle organisatorischen Apple-Geräte hinweg erzwingen.
-
Webbrowsing auf sensiblen Geräten einschränken. Für Geräte mit hochsensiblen Daten erwägen Sie, das Webbrowsing auf genehmigte Seiten zu beschränken oder ein separates Gerät für den allgemeinen Internetzugang zu verwenden.
Technische Details
CVE-2020-27930 ist eine Speicherkorruptions-Schwachstelle in Apples FontParser-Bibliothek, die für das Parsen und Rendern von Schriftdaten über alle Apple-Betriebssysteme hinweg zuständig ist. Die Schwachstelle existiert im Code, der für die Verarbeitung von Schriftdateistrukturen verantwortlich ist, speziell in der Handhabung von Glyphen-Umrissen und Font-Table-Daten.
Die technische Ursache ist ein Out-of-bounds Write, der während des Parsens fehlerhafter Schriftdaten ausgelöst wird. Wenn FontParser auf eine speziell präparierte Schriftdatei stößt, ermöglicht unzureichende Grenzprüfung bei Glyphen-Koordinatendaten oder Table-Offsets dem Parser, Daten über die Grenzen allokierter Heap-Puffer hinaus zu schreiben.
Der Ausnutzungsvektor nutzt Safaris automatische Schriftverarbeitungsfähigkeit. Webseiten können benutzerdefinierte Schriften über CSS @font-face-Deklarationen angeben, was den Browser veranlasst, Schriftdateien von Remote-Servern herunterzuladen und zu verarbeiten. Wenn ein Opfer eine bösartige Webseite besucht, lädt Safari die präparierte Schrift automatisch herunter und übergibt sie an FontParser.
Der CVSS-Vektor (AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) klassifiziert dies als lokalen Angriff mit Benutzerinteraktion, was in der Praxis den Besuch einer bösartigen Webseite bedeutet.
In der beobachteten Angriffskette liefert CVE-2020-27930 die initiale Code-Ausführung innerhalb der Safari-Renderer-Prozess-Sandbox. Der Angreifer nutzt dann CVE-2020-27950 zum Lesen nicht initialisierten Kernel-Speichers und zur Umgehung von KASLR. Mit bekannten Kernel-Adressen wird CVE-2020-27932 für Kernel-Level-Privilegien-Eskalation ausgenutzt.
Apple hat die Schwachstelle durch verbesserte Eingabevalidierung in FontParser behoben.
Häufig gestellte Fragen
Wird CVE-2020-27930 aktiv ausgenutzt?
Ja. Apple bestätigte, dass CVE-2020-27930 in freier Wildbahn aktiv ausgenutzt wurde. Die Schwachstelle wurde als initialer Einstiegspunkt in einer Drei-Schwachstellen-Angriffskette zusammen mit CVE-2020-27950 (Kernel-Speicher-Offenlegung) und CVE-2020-27932 (Kernel-Privilegien-Eskalation) verwendet. CISA hat die Schwachstelle am 3. November 2021 in den KEV-Katalog aufgenommen.
Welche Produkte sind von CVE-2020-27930 betroffen?
CVE-2020-27930 betrifft Apple iOS vor 14.2 und vor 12.4.9, iPadOS vor 14.2, macOS vor Big Sur 11.0.1 und Catalina vor dem 10.15.7 Supplemental Update (plus Security Update 2020-006 für High Sierra und Mojave) sowie watchOS vor 7.1, 6.2.9 und 5.3.9.
Wie behebe ich CVE-2020-27930?
Aktualisieren Sie auf iOS 14.2+ (oder iOS 12.4.9 für ältere Geräte), iPadOS 14.2+, macOS Big Sur 11.0.1+, das macOS Catalina 10.15.7 Supplemental Update oder die entsprechende watchOS-Version. Priorisieren Sie aufgrund des browserbasierten Ausnutzungsvektors das Patchen von Geräten, die für Webbrowsing und E-Mail verwendet werden.
Wie schwerwiegend ist CVE-2020-27930?
CVE-2020-27930 wird mit HIGH und einem CVSS-Score von 7.8 bewertet. Der Schweregrad wird durch die Rolle als initialer Einstiegspunkt in einer vollständigen Gerätekompromittierungskette verstärkt. In Kombination mit CVE-2020-27950 und CVE-2020-27932 führt die Ausnutzung zu vollständiger Kernel-Level-Gerätekontrolle. Der EPSS-Score von 0.47173 (97,63. Perzentil) bestätigt eine sehr hohe reale Ausnutzungswahrscheinlichkeit.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.