Le développeur ChendoChap que l'on ne présente plus tellement il a révolutionné la scène PlayStation, nous revient sur son compte Github afin de proposer le write-up sur l'exploit sur le navigateur PlayStation 5.
Autant vous le dire tout de suite, cela fait grand bruit sur la scène et il y a de forte chance que tout cela ne plaise pas à Sony, mais c'est désormais diffusé. Le write-up a été proposé par ChendoChap mais il tient aussi à remercier Znullptr.
Selon lui, obtenir l'exécution de code userland sur PS5 est plus délicat que sur PS4, mais c'est possible. Bien sûr, cela a été facilité par le fait qu'ils disposent des binaires* et donc accès aux gadgets ROP. Sinon, l'exécution du code aurait été beaucoup plus difficile à cause de XOM. Il s'agit d'un exploit userland.
Bien entendu, trouver un exploit kernel ne sera pas simple, et les techniques de sécurisation mise en oeuvre par Sony sont encore plus importante sur PS5 que sur PS4. Bien que son architecture soit similaire à celle de la PS4, le modèle de sécurité a été considérablement amélioré, tant au niveau du kernel que de l'userland. Vous trouverez donc dans son write-up des informations clés sur l'OS et certains des changements par rapport à la PS4.
Changements majeurs :
- Utilise FreeBSD 11.
- Pas d'accès au développement (c'est-à-dire qu'il est impossible d'exécuter du code non signé sans exploits).
- A ce jour, il n'y a pas d'exploits publics.
- Ajout de mesures d'atténuation dans le kernel et dans l'userland.
- Ajout d'un hyperviseur qui gère la sécurité et les conteneurs d'applications.
Un peu d'historique sur l'userland :
En septembre, Project Zero a publié un rapport sur ce qu'ils croyaient être le CVE-2021-30858, qui s'est avéré être une erreur car il s'agissait en fait du CVE-2021-30889 qu'ils décrivaient. Une preuve de concept a été écrite pour PS4 par sleirsgoevy, que nous avons ensuite modifiée pour obtenir une exécution ROP sur 9.00 pour l'exploit kernel. La vulnérabilité ne sera pas abordée ici, cet article se concentrera sur l'utilisation des primitives arbitraires de lecture/écriture et de leakobj()/fakeobj() que l'exploit fournit pour obtenir l'exécution de code sur PS5.
Sur PS5, les firmwares inférieurs tels que le 2.00 ne semblent pas être vulnérables, probablement parce que le code FontFace pertinent n'est pas présent dans les anciennes versions de WebKit (cela vaut également pour la PS4, car les firmwares inférieurs à 9.00 ne peuvent pas être exploités avec ce bug WebKit).
Cependant, avec le firmware 4.03, nous avons constaté que le navigateur était vulnérable. Malheureusement, l'exploit utilisé sur la PS4 n'a pas pu être utilisé sur la PS5 en raison de clang basé sur CFI. Sur PS4, nous pouvons utiliser les primitives leakobj() et arbitrary write pour faire fuir la table virtuelle d'un HTMLTextArea et détruire les différents appels virtuels pour exécuter du code. Sur la PS5, ces appels virtuels sont vérifiés.
Les appels virtuels ont maintenant un code qui ressemble à quelque chose comme ceci, où l'adresse est imposée :
Une alternative était nécessaire pour réaliser l'exécution de code dans WebKit. Heureusement, le CFI de la PS5 n'est qu'en amont. Les attaques en amont sont donc possibles. Javascript fournit un élément de fonctionnalité assez intéressant appelé Web Workers. Ces Web Workers sont à la base de simples threads qui exécutent Javascript dans un environnement isolé. Ils sont utiles pour l'exploit, car ils ont un stack fiable que l'on peut faire leak, et donnent un thread pour pivoter vers une chaîne ROP.
Ce sont donc ces web workers que sur PS5 il faut utiliser, la bibliothèque libkernel utilisée par le navigateur (et de nombreuses autres applications) conserve une liste de threads pour ce processus, et inclut des informations telles que l'adresse et la taille de la pile stack. En itinérant cette liste en utilisant la lecture/écriture arbitraire, nous pouvons trouver l'adresse d'un web worker.
Une fois que l'adresse du web worker a été trouvée, nous pouvons écraser une adresse pour pivoter la pile stack et faire fonctionner la chaîne d'outils ROP. Nous pouvons alors configurer un worker factice avec un gestionnaire postMessage et écraser l'adresse de retour à stack+0x7FB88.
Bref, vous le voyez tout cela est très technique et pas évident, mais cela permet d'expliquer que l'exploit utilisé sur PS4 ne peut pas être porté sur PS5, du fait des sécurités accrues au sein de l'userland, et que l'exploit kernel devra en plus être trouvé. Le seul firmware sensible à cette stratégie d'exploit est le firmware 4.03, tout autre firmware ne semble pas pour le moment d'un côté parce qu'en dessous ils ne disposent pas du code FontFace (la vulnérabilité du firmware PS4 9.00), et au dessus la faille a été corrigée, donc il faudra en trouver une autre.
Tout est là : PS5-Webkit-Execution
