Een kwetsbaarheid in Apple Wireless Direct Link (AWDL) maakte het voor aanvallers mogelijk om uit een air-gapped netwerk te ontsnappen en zo vertrouwelijke data te stelen. Apple bracht afgelopen april beveiligingsupdates voor het probleem in iOS en macOS uit, maar details zijn vandaag bekendgemaakt.

AWDL is een peer-to-peer network over bluetooth tussen alle Apple-apparaten in de buurt. Het is aanwezig wanneer bluetooth en wifi zijn ingeschakeld en wordt onder andere gebruikt voor AirDrop, AirPlay en Handoff. Beveiligingsonderzoeker Mikko Kenttälä van securitybedrijf SensorFu ontdekte dat de feature is te gebruiken om uit een air-gapped netwerk te ontsnappen.

Het is een bekende beveiligingsmaatregel om systemen met vertrouwelijke data niet op internet aan te sluiten. Dit wordt ook wel een air-gap genoemd. Air-gapped computers kunnen nog steeds met malware besmet raken. Kenttälä vond een manier om via AWDL vanaf een besmette Apple MacBook in een air-gapped netwerk gegevens te stelen wanneer iemand met een iPhone in de buurt komt.

Zodra iemand met een iPhone in de buurt van de besmette MacBook komt achterhaalt de malware via IPv6 Node Information Query het publieke ipv6-adres van de iPhone. Dat adres wordt voor een zogeheten "bounce leak" gebruikt. De malware stuurt alle verzamelde data naar de iPhone en maakt daarbij gebruik van een gespooft source ipv6-adres.

"Omdat er niemand luistert naar de mobiele interface UDP-poort 1337 zal de iPhone via de mobiele interface een ICMPv6-foutmelding versturen, inclusief de gestolen data, naar het gespoofte adres en zal de ontvanger de data ontvangen", aldus Kenttälä. De onderzoeker meldde het probleem vorig jaar september aan Apple. Als oplossing besloot Apple de IPv6 Node Information Query functionaliteit in iOS 14.5, iPadOS 14.5, watchOS 7.4 en mac OS Big Sur 11.3 uit te schakelen.