AppleのT2チップにはルートアクセスを可能にする修正不可能な脆弱性がある

サイバーセキュリティ研究者は、Intel プロセッサと T2 チップを搭載した Apple macOS デバイスは、攻撃者にルートアクセスを与える可能性のある修正不可能なエクスプロイトに対して脆弱であると主張している。

最新のmacOSデバイスのほとんどに搭載されているT2チップは、Apple Siliconのコプロセッサで、起動やセキュリティ操作に加え、オーディオ処理などの様々な機能も処理します。独立系セキュリティコンサルタントのニールス・H氏は、T2チップにパッチ適用不可能な深刻な欠陥があると指摘しています。

Niels H.氏によると、T2チップはApple A10プロセッサをベースにしているため、iOSベースのデバイスに影響を与えるものと同じcheckm8エクスプロイトに対して脆弱です。これにより、攻撃者はアクティベーションロックを回避し、その他の悪意のある攻撃を実行する可能性があります。

この脆弱性に関する情報は、セキュリティ研究者のリック・マーク氏と、この脆弱性を最初に発見したcheckra1nチームからニールス・H氏に提供されました。マーク氏によると、checkm8の脆弱性はDFUモードにおけるUSB処理に存在するとのことです。

通常、T2チップのSecure Enclave Processor（SEP）は、DFUモード中に復号呼び出しを検出すると致命的なエラーで終了します。これは、MacとiOSデバイスの両方にSEPを通じて組み込まれたセキュリティメカニズムです。しかし、今回のエクスプロイトは、Panguが開発したBlackbird SEPの脆弱性と組み合わせることで、このセキュリティメカニズムに悪用される可能性があります。

攻撃者がT2チップにアクセスすると、完全なルートアクセスとカーネル実行権限を取得できます。FileVault 2暗号化で保護されたファイルを復号することはできませんが、T2チップがキーボードアクセスを管理しているため、キーロガーを挿入してパスワードを盗むことは可能です。

この脆弱性により、MDMや「探す」機能、さらには内蔵のアクティベーションロックといったセキュリティメカニズムを介したセキュリティロックの手動バイパスも可能になる可能性があります。ファームウェアパスワードもキーボードによるアクセスを必要とするため、この問題を軽減することはできません。

Appleは、T2の基盤となるオペレーティングシステム（bridgeOS）がセキュリティ上の理由から読み取り専用メモリを使用しているため、ハードウェアのリビジョンアップなしにこの脆弱性を修正することはできません。一方で、これはこの脆弱性が永続的ではないことも意味します。つまり、悪意のある特別に細工されたUSB-Cケーブルなどのハードウェアコンポーネントが必要となるのです。

Mark は、デバイスを再起動するとブート チェーンが消去されますが、特定の T2 ファイルシステムの変更は永続的になる可能性があると指摘しています。

ニールス・H氏は、Appleに脆弱性の開示を求めたが、返答はなかったと述べた。この問題への意識を高めるため、彼は自身のIronPeak.beブログで脆弱性を公開した。

誰が危険にさらされているのか、そしてどのように身を守るのか

Niels H.氏によると、この脆弱性はT2チップとIntelプロセッサを搭載したすべてのMac製品に影響します。Apple Siliconベースのデバイスは異なるブートシステムを使用しているため、それらも影響を受けるかどうかは不明です。

脆弱性と関連する悪用の性質上、攻撃を実行するには物理的なアクセスが必要です。

その結果、平均的なユーザーは、物理的なセキュリティを維持し、出所が検証されていない USB-C デバイスを接続しないことで、エクスプロイトを回避できます。