苹果M1芯片爆出安全漏洞：无法修复，只能重新设计

苹果基于 Arm 架构的 M1 芯片因其强劲性能而备受瞩目，但近期 Ashai Linux 创始人兼项目负责人 Hector Martin 发现，搭载于新款 iPad Pro、MacBook Air、MacBook Pro、Mac mini 以及重新设计过的 iMac 的 M1 芯片竟然有无法修复的安全漏洞。该漏洞被称为「M1RACLES」，允许两个或更多的恶意应用程序建立一个秘密通道来相互通信，并可以在不使用任何操作系统功能的情况下进行，还能在不同用户层的进程之间交换数据。

Martin 还针对该漏洞专门撰写了一份报告，并表示该漏洞「被嵌在 Apple Silicon 芯片中，如果要修复这一漏洞，必须重新设计芯片」。

发现该漏洞后，Martin 已经给 product-security@apple.com 发送了电子邮件，苹果公司承认了这一漏洞，将其命名为 CVE-2021-30747，但并未澄清该漏洞是否会在未来 M1 芯片版本中修复。该漏洞很有可能影响下一代苹果 M 系列芯片，但也许会在下一代芯片设计中得到修复。

哪些用户会受到影响呢?Martin 表示，无论是 macOS 或者 Linux 系统，所有搭载苹果 M1 芯片的用户都将受到影响。更具体地，版本 11.0 以上(包括 11.0)的 macOS 和版本 5.13 以上(包括 5.13)的 Linux 用户会受到影响。

低风险漏洞、影响不大，但违反了操作系统的安全原则

该漏洞如何产生的呢?该漏洞源于编码为 s3_5_c15_c10_1 的 Arm 系统寄存器包含两个位，可以同时从所有内核以 EL0 (异常级别 0，应用程序级别权限)进行读写。

「一对恶意的合作进程可能会通过使用时钟和数据协议在此两位状态(two-bit state)之外建立一个鲁棒的通道(例如一侧写入 1x 以发送数据，另一侧写入 00 以请求下一位)。」Martin 解释说，这导致进程可以交换任意数量的数据，而仅受 CPU 开销的约束。

他在该漏洞的执行摘要中写到，「Apple Silicon M1 芯片设计中的一个缺陷允许在操作系统下运行的任何两个应用程序之间秘密交换数据，绕过使用内存、套接字、文件或任何其他正常操作系统功能。这在以不同用户身份运行并在不同权限级别下运行的进程之间起作用，为秘密数据交换创建了一个隐蔽通道。」

好消息是该漏洞被认为是低风险的，因为它不能被用来感染 Mac 电脑，也不会被其他漏洞或恶意软件用来窃取或篡改存储在电脑上的数据。所以，Mac 用户并不需要担心这个漏洞，它基本上无法用于任何恶意行为。

当被问到这个漏洞有多严重，Martin 表示，如果以 1 到 10(10 代表最严重)来对这个漏洞的严重程度进行评分，Martin 给了 2 分，它对正常运行的软件也没有任何影响。

Martin 指出，虽然使用这个漏洞的恶意软件既无法窃取、也无法干扰系统上现有的数据，但一个程序是不应该能够隐密传数据给另一个程序，这违反了操作系统的安全原则。

对于这个漏洞是否存在遭到滥用的可能，他认为，广告商可能会滥用已安装在 M1 设备上的应用程序进行跨应用程序跟踪。一些游戏开发者也可能将该漏洞用作同步基元(synchronization primitive)。

这些都与苹果近期大力推广的用户隐私相悖，只要用户不同意，应用程序开发商就不能偷偷追踪数据。这项安全漏洞可让两个应用程序交换数据，这样广告商就能利用漏洞，跨应用程序追踪数据轨迹。

尽管 M1RACLE 漏洞允许 CPU 进程通过秘密通道将数据传输到另一个 CPU 进程，从而违反了操作系统安全原则，但 Martin 认为该缺陷是由苹果 M1 芯片设计团队人为错误造成的。更具体地说，苹果决定通过删除一个强制性功能来破坏 ARM 规范，因为他们认为永远不需要在 macOS 上使用这个功能。然而根据消息，通过删除该功能，苹果使现有的操作系统更难缓解这个漏洞。

对于苹果 M1 芯片设计团队人为错误造成的漏洞，Martin 认为，「工程师也是人，难免会犯错误。」

其实，M1 已不是第一次曝出安全漏洞，去年 11 月，搭载 M1 的 MacBook 就被中国的腾讯玄武实验室发现了安全漏洞。在他们的新品检测视频中，扮演攻击者的测试人员在 MacBook Air 上打开所有系统保护后，在非常短的时间内获得了系统的最高权限(root 权限)。而这一权限，可以用来自由访问用户的通讯录、照片、文件等隐私信息。随后攻击者尝试读写电脑中的照片、文档等隐私文件，竟然像查阅自己电脑一样信手拈来!

这也是第一个公开的可以影响 Apple M1 芯片设备的安全漏洞，随后腾讯安全玄武实验室将此漏洞报告给了苹果安全团队。