安全公司 Paradigm Shift 在昨天（6 月 18 日）发布了一篇技术博文，公布了他们在苹果 A12 和 A13 芯片上发现的一个 BootROM 漏洞。他们将这个漏洞命名为 usbliter8。坦白讲，这个名字听起来就带着一股“可以直接绕过整个安全启动链”的狠劲。
先来看看哪些设备会受到影响。这个漏洞主要存在于采用 A12 和 A13 芯片的设备，基本上就是 iPhone XS 系列、XR 和 iPhone 11 系列，以及搭载 S4 和 S5 芯片的几款 iPad 和 Apple Watch。具体清单如下：
11-inch iPad Pro (第一代)
11-inch iPad Pro (第二代)
12.9-inch iPad Pro (第三代)
12.9-inch iPad Pro (第四代)
Apple Watch SE (第一代)
Apple Watch Series 4
Apple Watch Series 5
iPad (第 9 代)
iPad (第 8 代)
iPad Air (第 3 代)
iPad mini (第 5 代)
iPhone 11
iPhone 11 Pro
iPhone 11 Pro Max
iPhone SE (第 2 代)
iPhone XR
iPhone XS
iPhone XS Max
这个漏洞的根基在哪里呢？简单来说，它瞄准的是 A12 和 A13 芯片中集成的 DWC2 USB 控制器。关键在于这个控制器自身的一个硬件 bug，再搭配上特定的固件配置缺陷，导致整个应用处理器的启动链都能被攻破。我们来看一下具体机制。
这个控制器在处理 USB Setup 包时，使用的是环形 DMA（直接内存访问）缓冲机制。它每收到一个 8 字节的 Setup 包，DMA 地址指针就递增 8 个字节。但问题在于，当它接收到第四个包时，控制器会试图将指针回退 24 个字节，以实现环形复位。然而，整个机制在控制器的逻辑上存在一个漏洞：它同样接收小于 8 字节的包（但存储时是按 4 字节对齐的），这样一来，指针每次实际写入的步进量（小于8）就与固定回退量（24 字节）产生了不匹配。结果就是形成了一个12字节步进的缓冲欠载原语。这相当于是把原本稳固的环形缓冲区撕开了一个口子。
在 A12 上，这个 USB 控制器的 DMA 缓冲区分配在堆上，紧邻着 USB 任务栈。攻击者就能利用这个“欠载”原语去覆盖栈上保存的 LR（链接寄存器）值。一旦调度器切换回 USB 任务，就能直接劫持 PC（程序计数器）指针，为所欲为。
到了 A13 上，事情变得更复杂了，因为苹果引入了 PAC（指针认证）和堆元数据校验。想绕过这些防护，攻击者需要分多步走，像解一道复杂的几何证明题一样：
第一步，先覆盖 DART（设备地址重映射表）相关的数据结构，利用 DART 清理例程中的一个零写入原语，清空全局 DART 指针，从而避免触发堆校验崩溃。
然后，攻击者利用 MMIO 寄存器向其中一个值写入 0xF，覆盖全局的 panic 计数器。这么做的目的是，当后续系统 panic 时，它会进入一个无限循环，而不会直接重启，为后续操作争取时间。
再下一步，攻击者需要精确控制 DMA 写入的时机，在 USB 任务实际运行时，覆写其任务结构中的临界区深度字段，再触发一个带 IRQ 的 panic，让它进入这个“无限挂起”的循环里。
最后，在这个无限循环期间继续执行 DMA 写操作，用于覆盖 BSS 段里的 USB IRQ 中断处理函数指针，最终实现完全的 PC 控制权。
获得代码执行权限后，攻击者会利用 SecureROM 中极少出现的 EL1 模式切换点（通过执行一条 SVC 0 指令）。在 A12 上，可以通过预先搭建好的 ROP 链，将 DMA 目标地址设为 boot trampoline 区域（这个区域是只读可执行的，但DMA能写入），然后写入 shellcode，再跳转到 EL1 权限去执行。
尽管这个漏洞听起来很吓人，但由于它是 BootROM 级别的缺陷，无法通过软件更新来修复。不过，值得松一口气的是，它的利用条件相当苛刻：必须物理接触到设备，而且它不会直接威胁到安全隔区处理器。苹果已经收到了这个漏洞的通报。对于用户来说，最务实的建议就是：如果你还在纠结要不要升级，不妨直接换一台采用 A14 或更新芯片的设备，这才是一劳永逸的终极解决方案。
附上参考地址
Introducing usbliter8
