CVE-2021-30860
Apple Multiple Products Integer Overflow Vulnerability
Beschreibung
CVE-2021-30860 ist eine Schwachstelle mit HIGH-Schweregrad durch einen Integer Overflow in Apples CoreGraphics-Framework, weithin bekannt als FORCEDENTRY. Der Fehler liegt in der Verarbeitung von PDF-Dateien, bei der ein bösartig erstelltes PDF einen Integer Overflow auslösen kann, der zu beliebiger Code-Ausführung führt. Mit einem CVSS 3.1-Score von 7.8 wurde diese Schwachstelle berüchtigterweise von NSO Groups Pegasus-Spyware als Zero-Click-Exploit gegen Journalisten, Aktivisten und Regierungsbeamte weltweit eingesetzt. Sie betrifft iOS (vor 14.8), iPadOS (vor 14.8), macOS (vor Big Sur 11.6 und Security Update 2021-005 Catalina) und watchOS (vor 7.6.2). CISA hat CVE-2021-30860 am 3. November 2021 mit einer dringenden Behebungsfrist bis zum 17. November 2021 in den KEV-Katalog aufgenommen. Der EPSS-Score von 0.72863 (98,76. Perzentil) weist auf eine außergewöhnlich hohe Ausnutzungswahrscheinlichkeit hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| apple | ipados | < 14.8 |
| apple | iphone os | < 12.5.5; >= 13.0, < 14.8 |
| apple | mac os x | >= 10.15, < 10.15.7; 10.15.7 |
| apple | macos | < 11.6 |
| apple | watchos | < 7.6.2 |
| xpdfreader | xpdf | < 4.04 |
| freedesktop | poppler | < 22.09.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://seclists.org/fulldisclosure/2021/Sep/25(Mailing List, Third Party Advisory)
- http://seclists.org/fulldisclosure/2021/Sep/26(Mailing List, Third Party Advisory)
- http://seclists.org/fulldisclosure/2021/Sep/27(Mailing List, Third Party Advisory)
- http://seclists.org/fulldisclosure/2021/Sep/28(Mailing List, Third Party Advisory)
- http://seclists.org/fulldisclosure/2021/Sep/38(Mailing List, Third Party Advisory)
- http://seclists.org/fulldisclosure/2021/Sep/39(Mailing List, Third Party Advisory)
- http://seclists.org/fulldisclosure/2021/Sep/40(Mailing List, Third Party Advisory)
- http://seclists.org/fulldisclosure/2021/Sep/50(Mailing List, Third Party Advisory)
- http://www.openwall.com/lists/oss-security/2022/09/02/11(Mailing List)
- https://security.gentoo.org/glsa/202209-21(Third Party Advisory)
- https://support.apple.com/en-us/HT212804(Vendor Advisory)
- https://support.apple.com/en-us/HT212805(Vendor Advisory)
- https://support.apple.com/en-us/HT212806(Vendor Advisory)
- https://support.apple.com/en-us/HT212807(Vendor Advisory)
- https://support.apple.com/kb/HT212824(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-30860(US Government Resource)
Schwachstellentyp
CWE-190: Integer Overflow oder Wraparound
Integer Overflow oder Wraparound tritt auf, wenn eine arithmetische Operation einen numerischen Wert produziert, der den maximalen Wert überschreitet, der im Ziel-Integer-Typ gespeichert werden kann. Wenn dies geschieht, wickelt der Wert zu einer kleinen Zahl um. Integer Overflows sind besonders gefährlich, wenn das Ergebnis für Speicherallokationsgrößen, Array-Indizes oder sicherheitskritische Berechnungen verwendet wird.
Im Kontext von CVE-2021-30860 tritt der Integer Overflow innerhalb von Apples CoreGraphics-Framework bei der Verarbeitung von JBIG2-Daten auf, die in PDF-Dateien eingebettet sind. JBIG2 ist ein Komprimierungsstandard für zweistufige (schwarz-weiß) Bilder, der häufig in gescannten Dokumenten zu finden ist. Der Exploit nutzt einen sorgfältig erstellten JBIG2-Stream, der einen Integer Overflow in Größenberechnungen während der Bilddekodierung auslöst. Dieser Overflow führt zu einer unterdimensionierten Speicherallokation, die anschließend mit angreiferkontrollierten Daten überschrieben wird. Der FORCEDENTRY-Exploit von NSO Group nutzte diese Schwachstelle, um eine ausgeklügelte virtuelle Maschine innerhalb des JBIG2-Kontexts zu konstruieren und beliebige Code-Ausführung ohne jegliche Benutzerinteraktion zu erreichen — ein echter Zero-Click-Exploit, der über iMessage zugestellt wurde.
Mehr erfahren: CWE-190 — Integer Overflow oder Wraparound
Auswirkungsanalyse
CVE-2021-30860 hat einen CVSS 3.1 Base Score von 7.8 (HIGH) mit lokalen Angriffscharakteristiken, die Benutzerinteraktion erfordern (Öffnen eines präparierten PDF). In der Praxis lieferte die FORCEDENTRY-Exploit-Kette die Payload jedoch als Zero-Click-iMessage-Angriff.
Vertraulichkeit (Hoch): Erfolgreiche Ausnutzung gewährt vollständige beliebige Code-Ausführung auf dem Zielgerät. Im Pegasus-Spyware-Kontext ermöglichte dies vollständigen Zugriff auf die Nachrichten des Opfers (einschließlich verschlüsselter Messenger wie Signal und WhatsApp), E-Mails, Fotos, Standortdaten, Mikrofon und Kamera. Jede Information auf dem Gerät wird für den Angreifer zugänglich, einschließlich Zugangsdaten, Authentifizierungstoken und verschlüsselter Kommunikation.
Integrität (Hoch): Beliebige Code-Ausführung ermöglicht dem Angreifer, jede Information auf dem Gerät zu modifizieren, persistente Überwachungsimplantate zu installieren, Systemkonfigurationen zu ändern und Sicherheitsmechanismen zu manipulieren. Die Pegasus-Spyware installierte sich persistent und konnte bei einigen Gerätekonfigurationen Neustarts überstehen.
Verfügbarkeit (Hoch): Obwohl die Pegasus-Exploit-Kette auf Heimlichkeit statt auf Störung ausgelegt war, könnte die Fähigkeit zur beliebigen Code-Ausführung verwendet werden, um Geräte funktionsunfähig zu machen, Daten zu löschen oder Systemabstürze zu verursachen.
Scope (Unchanged): Obwohl technisch auf den Anwendungskontext beschränkt, erstreckt sich die praktische Auswirkung durch Kernel-Exploit-Ketten auf die vollständige Kompromittierung des Geräts.
Exploit-Reifegrad
Aktive Ausnutzung — Staatlich gesponsert: CVE-2021-30860 ist einer der ausgeklügeltsten Exploits, die jemals in Consumer-Software entdeckt wurden. Er wurde aktiv von NSO Groups Pegasus-Spyware ausgenutzt, die von mehreren staatlichen Kunden gegen Journalisten, Menschenrechtsaktivisten, Anwälte, Politiker und Regierungsbeamte in Dutzenden von Ländern eingesetzt wurde. CISA hat diese Schwachstelle am 3. November 2021 mit einer beschleunigten Behebungsfrist bis zum 17. November 2021 in den KEV-Katalog aufgenommen.
Zero-Click-Exploit: Der FORCEDENTRY-Exploit ist ein Zero-Click-Angriff — das Opfer muss keine Datei öffnen, keinen Link anklicken und keine Aktion ausführen. Das bösartige PDF mit dem JBIG2-Exploit-Payload wurde über iMessage zugestellt. Der bloße Empfang der Nachricht genügte, um die Ausnutzung auszulösen. Der Exploit nutzte eine neuartige Technik zur Konstruktion einer virtuellen CPU-Architektur innerhalb von JBIG2-Logikoperatoren.
Entdeckung: Der Exploit wurde im September 2021 von Forschern des Citizen Lab an der Universität Toronto auf dem Telefon eines saudischen Aktivisten entdeckt. Googles Project Zero veröffentlichte anschließend eine detaillierte technische Analyse und bezeichnete ihn als einen der technisch ausgeklügeltsten Exploits, die sie je analysiert hatten.
Ransomware-Verbindung: Der KEV-Katalog weist keine Ransomware-Verbindung aus. Die Ausnutzung war ausschließlich mit gezielten Überwachungsoperationen verbunden.
EPSS-Kontext: Der EPSS-Score von 0.72863 (98,76. Perzentil) platziert diese Schwachstelle in den oberen 1,2% aller CVEs für Ausnutzungswahrscheinlichkeit.
Behebung
-
Alle Apple-Geräte sofort aktualisieren. Installieren Sie iOS 14.8, iPadOS 14.8, macOS Big Sur 11.6, Security Update 2021-005 Catalina und watchOS 7.6.2 oder spätere Versionen. Aufgrund der Zero-Click-Natur von FORCEDENTRY ist keine Benutzeraktion für die Ausnutzung erforderlich — das bloße Vorhandensein eines ungepatchten, netzwerkverbundenen Geräts genügt.
-
Automatische Updates auf allen Apple-Geräten aktivieren. Konfigurieren Sie iOS-, iPadOS-, macOS- und watchOS-Geräte für die automatische Installation von Sicherheitsupdates.
-
Apple Lockdown-Modus für Hochrisiko-Benutzer aktivieren. Apple hat den Lockdown-Modus in iOS 16 und macOS Ventura speziell als Reaktion auf ausgeklügelte, gezielte Angriffe wie FORCEDENTRY eingeführt. Aktivieren Sie den Lockdown-Modus für Journalisten, Aktivisten, Regierungsbeamte und andere Personen mit erhöhtem Risiko staatlich gesponsorter Überwachung.
-
Geräte auf Indikatoren einer Pegasus-Kompromittierung prüfen. Verwenden Sie das Mobile Verification Toolkit (MVT) von Amnesty International, um iOS- und Android-Geräte auf Pegasus-Infektionsindikatoren zu scannen.
-
Enterprise Mobile Device Management (MDM) implementieren. Verwenden Sie MDM-Lösungen zur Durchsetzung von Mindest-OS-Versionsanforderungen und zur Überprüfung der Patch-Compliance in der gesamten Organisation.
-
Auf neue Zero-Click-Bedrohungen überwachen. Abonnieren Sie Sicherheitshinweise von Apple, Citizen Lab und CISA. Zero-Click-Exploits gegen Messaging-Plattformen stellen eine sich entwickelnde Bedrohungslandschaft dar, die kontinuierliche Wachsamkeit erfordert.
Technische Details
CVE-2021-30860 ist eine Integer-Overflow-Schwachstelle in Apples CoreGraphics-Framework, speziell im JBIG2-Bilddecoder, der für die Verarbeitung von PDF-Dateien verwendet wird. JBIG2 ist ein Komprimierungsstandard (ITU T.88) für die effiziente Kodierung von zweistufigen Bildern, die häufig in der Komprimierung gescannter Dokumente zum Einsatz kommt.
Die Schwachstelle existiert im Codepfad, der JBIG2-Segmentdaten innerhalb von PDF-Streams verarbeitet. Wenn der JBIG2-Decoder speziell präparierte Segment-Header verarbeitet, tritt ein Integer Overflow in der Berechnung der Puffergrößen auf, die für die Speicherung dekodierter Bilddaten erforderlich sind. Der übergelaufene Größenwert führt zu einer kleineren als erwarteten Speicherallokation, die eine Heap-Buffer-Overflow-Bedingung erzeugt, wenn der Decoder anschließend dekodierte Bilddaten in den unterdimensionierten Puffer schreibt.
Der FORCEDENTRY-Exploit von NSO Group stellt ein beispielloses Niveau an Exploit-Sophistication dar. Anstatt den Buffer Overflow für eine einfache Code-Execution-Kette zu nutzen, konstruiert der Exploit eine vollständige virtuelle Rechenumgebung innerhalb des JBIG2-Decoders. JBIG2 unterstützt logische Operationen (AND, OR, XOR, XNOR) auf Speicherbereichen zum Kombinieren von Bildsegmenten. Der Exploit verwendet etwa 70.000 JBIG2-Segmentbefehle, die logische Operationen auf Bitmap-Speicher definieren, um eine kleine virtuelle CPU-Architektur zu implementieren. Diese virtuelle CPU umfasst Register, einen vollständigen 64-Bit-Addierer und -Vergleicher sowie die Fähigkeit, Speicher zu durchsuchen und beliebige Berechnungen durchzuführen.
Der CVSS-Vektor (AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) erfordert technisch lokalen Zugriff und Benutzerinteraktion. Der iMessage-Zustellmechanismus transformiert dies jedoch in einen effektiven Remote-Zero-Click-Exploit, da iMessage eingehende Anhänge einschließlich PDF-Inhalten automatisch verarbeitet.
Apple hat die Schwachstelle durch verbesserte Eingabevalidierung im JBIG2-Decoder behoben. Der Fix wurde am 13. September 2021 veröffentlicht, nur wenige Tage nach Citizen Labs Offenlegung.
Häufig gestellte Fragen
Wird CVE-2021-30860 aktiv ausgenutzt?
Ja. CVE-2021-30860 wurde aktiv von NSO Groups Pegasus-Spyware in gezielten Angriffen gegen Journalisten, Aktivisten und Regierungsbeamte weltweit ausgenutzt. Bekannt als FORCEDENTRY, war dieser Exploit ein Zero-Click-Angriff über iMessage, der keine Interaktion des Opfers erforderte. CISA hat die Schwachstelle am 3. November 2021 mit einer dringenden Behebungsfrist bis zum 17. November 2021 in den KEV-Katalog aufgenommen.
Welche Produkte sind von CVE-2021-30860 betroffen?
CVE-2021-30860 betrifft Apple iOS vor 14.8, iPadOS vor 14.8, macOS (Big Sur vor 11.6 und Catalina vor Security Update 2021-005), watchOS vor 7.6.2 sowie nicht-Apple-Software, die betroffene PDF-Rendering-Bibliotheken verwendet, einschließlich Xpdf vor 4.04 und Poppler vor 22.09.0.
Wie behebe ich CVE-2021-30860?
Aktualisieren Sie sofort auf iOS 14.8+, iPadOS 14.8+, macOS Big Sur 11.6+, Security Update 2021-005 Catalina oder watchOS 7.6.2+. Aktivieren Sie für Hochrisiko-Personen den Apple Lockdown-Modus (verfügbar ab iOS 16+ und macOS Ventura+). Verwenden Sie das Mobile Verification Toolkit (MVT), um Geräte auf Indikatoren einer früheren Pegasus-Kompromittierung zu prüfen.
Wie schwerwiegend ist CVE-2021-30860?
CVE-2021-30860 wird mit HIGH und einem CVSS-Score von 7.8 bewertet, doch der tatsächliche Schweregrad ist aufgrund der Zero-Click-Ausnutzungsmethode außergewöhnlich. Der FORCEDENTRY-Exploit erforderte keine Opferinteraktion — der bloße Empfang einer iMessage genügte für die vollständige Gerätekompromittierung. Googles Project Zero bezeichnete ihn als einen der technisch ausgeklügeltsten Exploits, die je analysiert wurden. Der EPSS-Score von 0.72863 (98,76. Perzentil) bestätigt eine extrem hohe Ausnutzungswahrscheinlichkeit.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.