La faille PDF de Safari et les ROMs matérielles : au cœur des premiers exploits d’iOS

En juillet 2011, l'ouverture d'un document PDF spécialement conçu dans Safari mobile sur un iPad 2 exécutant iOS 4.3.3 pouvait compromettre en toute discrétion la sécurité fondamentale de l'appareil. L'exploit permettait d'obtenir un accès root via le Web, sans nécessiter d'ordinateur de bureau ni de connexion filaire. Cette simple vulnérabilité au niveau du navigateur a montré comment les moteurs de rendu de l'espace utilisateur pouvaient être détournés pour obtenir des privilèges d'administration complets sur le système d'exploitation d'iOS.

L'exploit PDF et la liberté basée sur le Web

L'outil à l'origine de cette vulnérabilité de Safari était JailbreakMe 3.0, développé par Nicholas Allegra, connu en ligne sous le pseudonyme comex. Allegra avait auparavant publié le débridage Spirit en mai 2010, puis JailbreakMe 2.0 en août 2010. Avec JailbreakMe 3.0, lancé en juillet 2011, Allegra a ciblé une faille de mémoire au sein du composant de rendu PDF de Safari mobile afin d'obtenir des privilèges root élevés sur les appareils dotés d'iOS 4.3. Selon l'histoire documentée de la sécurité d'iOS, la publication de cet outil a provoqué une réaction rapide des autorités de régulation. Le 15 juillet 2011, Apple a publié une mise à jour d'urgence d'iOS pour corriger la faille PDF, après que l'Office fédéral allemand de la sécurité des technologies de l'information eut averti que des attaquants malveillants pouvaient exploiter cette même vulnérabilité pour injecter du code non autorisé.

Hacks de bas niveau et vulnérabilités de la Boot ROM

Tandis qu'Allegra se concentrait sur les logiciels applicatifs de l'espace utilisateur, le développeur George Hotz s'attaquait aux niveaux matériels plus profonds de l'architecture du système. Hotz avait auparavant créé les premiers utilitaires de débridage, notamment purplera1n pour iPhone OS 3.0 et blackra1n pour iPhone OS 3.1.2. En octobre 2010, Hotz a publié limera1n, un outil qui exploitait une vulnérabilité située dans le code de la Boot ROM de l'appareil. Les vulnérabilités de la Boot ROM résident dans le matériel d'amorçage inaltérable situé sous le système d'exploitation principal. Le code de la Boot ROM étant gravé de façon permanente dans le silicium lors de sa fabrication, Apple ne pouvait pas corriger limera1n par le biais de mises à jour logicielles à distance. La neutralisation de tels exploits matériels exigeait des révisions physiques du silicium, telles que les puces modifiées introduites lors des séries de fabrication ultérieures d'appareils comme l'iPhone 3GS.

L'apogée des outils de débridage autonomes sur ordinateur

À mesure que les protections de la plateforme devenaient plus complexes, les chercheurs indépendants se sont tournés vers des applications de bureau exploitant plusieurs vulnérabilités combinées. Le 4 février 2013, l'outil de jailbreak autonome evasi0n a été mis en ligne pour Linux, OS X et Windows afin de cibler les appareils fonctionnant sous iOS 6. L'engouement du public a été si intense que le trafic initial massif a provoqué de graves erreurs de serveur de téléchargement pour les utilisateurs du monde entier. Evasi0n a représenté l'apogée des outils autonomes basés sur ordinateur, en enchaînant plusieurs vulnérabilités logicielles au sein d'un seul package automatisé. Apple a finalement fermé définitivement cette chaîne d'exploits avec la sortie d'iOS 6.1.3, marquant la fin des jailbreaks autonomes facilement réalisables dans l'espace utilisateur.

De Rootless aux liens symboliques : le durcissement moderne de la plateforme

Pour prévenir les compromissions globales du système, Apple a entièrement repensé l'architecture de son système d'exploitation. Le 16 septembre 2015, l'entreprise a lancé iOS 9, intégrant Rootless, un système de sécurité conçu pour restreindre les permissions des superutilisateurs et neutraliser les techniques de débridage traditionnelles. Des versions ultérieures ont introduit le volume système signé et scellé (Signed and Sealed System Volume) pour garantir l'intégrité des fichiers système. Par conséquent, les jailbreaks modernes dits « rootless » sur iOS 15 et versions ultérieures ne modifient plus le système de fichiers root en lecture seule. Au lieu de cela, les outils contournent le volume système scellé en redirigeant les modifications vers /private/preboot/$boot-manifest-hash$/procursus, accédant aux ajustements tiers via un lien symbolique situé dans /var/jb.

Même si la sécurité mobile moderne repose aujourd'hui sur des volumes scellés et des contrôles cryptographiques, les premières failles applicatives et les exploits de la Boot ROM ont définitivement façonné la conception des systèmes d'exploitation. Le jeu du chat et de la souris entre les chercheurs indépendants et les ingénieurs de la plateforme a transformé la chasse isolée aux bugs en une référence rigoureuse pour l'isolation moderne en bac à sable.

Image de couverture : illustration générée par IA ; ce n’est pas une photographie documentaire.

Source: IOS jailbreaking