usbliter8 được phát hiện trên A14 và M1 đời sớm, nhưng iPhone 12 thương mại không bị ảnh hưởng

Một nghiên cứu mới được Proteas công bố ngày 31/8/2026 đã hé lộ thêm một chi tiết đáng chú ý về usbliter8 – lỗ hổng SecureROM nổi tiếng từng được công bố trên các thiết bị sử dụng chip Apple A12 và A13.

Theo kết quả phân tích SecureROM, lỗ hổng liên quan đến usbliter8 thực tế từng tồn tại trên các phiên bản A14 và M1 đời đầu, trước khi được Apple khắc phục trên silicon đưa vào sản xuất hàng loạt.

1.usbliter8 từng tồn tại trên A14

Proteas đã phân tích ba phiên bản AP ROM khác nhau của Apple A14:

• A14-A0 Early – iBoot-5281.0.0.100.22: bị ảnh hưởng.
• A14-B0 Middle – iBoot-5281.0.0.100.34: bị ảnh hưởng.
• A14-B1 PROD – iBoot-5281.0.0.100.45: không bị ảnh hưởng.

Điều này cho thấy trong quá trình phát triển A14, Apple từng có ít nhất hai revision SecureROM vẫn chứa điều kiện cần để usbliter8 hoạt động. Tuy nhiên đến revision B1 PROD, tức phiên bản được thiết kế cho sản phẩm thương mại, cơ chế này đã được sửa.

2.Apple đã sửa nó như thế nào?

Điểm khác biệt quan trọng nằm ở cách SecureROM cấu hình DART – Device Address Resolution Table, hệ thống IOMMU được Apple sử dụng để kiểm soát quyền truy cập bộ nhớ của các thiết bị DMA.

Trên A14-A0 và A14-B0, cấu hình DART cho USB chưa được thiết lập đúng theo cơ chế bảo vệ xuất hiện sau này. Điều này khiến đường DMA của bộ điều khiển USB vẫn có thể rơi vào điều kiện mà usbliter8 lợi dụng.

Đến A14-B1 PROD, Apple đã thay đổi đáng kể cách USB DMA hoạt động. SecureROM khởi tạo USB DART, ánh xạ vùng bộ nhớ và sử dụng địa chỉ IOVA thay vì để USB DMA trực tiếp tới địa chỉ vật lý như trên những revision trước.

Chính thay đổi này khiến phương pháp khai thác của usbliter8 không còn hoạt động trên A14-B1. Proteas kết luận rõ ràng rằng phiên bản production này không bị ảnh hưởng bởi usbliter8.

3.M1 cũng từng có lỗ hổng tương tự

Một chi tiết khá thú vị khác là tình trạng gần như tương tự cũng xuất hiện trên Apple M1.

Proteas phân tích hai revision:

• M1-A0 Early – iBoot-5540.0.0.200.13 vẫn có cấu hình DART khiến nó bị ảnh hưởng bởi usbliter8.
• Trong khi đó M1-B1 PROD – iBoot-5540.0.0.400.2 đã sử dụng DART để ánh xạ DMA và không còn bị ảnh hưởng.

Điều này cho thấy Apple nhiều khả năng đã nhận ra vấn đề trong quá trình phát triển thế hệ chip A14/M1 và sửa nó trước khi các revision production được đưa tới người dùng.

4.Điều này có đồng nghĩa iPhone 12 đã có BootROM exploit?

Đây là điểm rất dễ gây hiểu nhầm.

A14 là con chip được sử dụng trên dòng iPhone 12, nhưng nghiên cứu hiện tại chỉ cho thấy các revision A14 đời sớm A0 và B0 bị ảnh hưởng. Revision B1 PROD mà Proteas phân tích đã được khắc phục.

Do SecureROM nằm cố định trong silicon và không thể được Apple cập nhật bằng iOS, việc phiên bản production không còn lỗ hổng là khác biệt cực kỳ quan trọng.

Hiện chưa có bằng chứng từ nghiên cứu này cho thấy những chiếc iPhone 12 thương mại thông thường có thể sử dụng usbliter8.

Nói cách khác:

• usbliter8 đã chạm tới A14 trong giai đoạn phát triển chip, nhưng chưa phải BootROM exploit dành cho iPhone 12 thương mại.

5.usbliter8 hiện tại vẫn chủ yếu dành cho A12/A13

Phiên bản usbliter8 được công khai hiện được mô tả là một tethered BootROM/SecureROM exploit dành cho Apple A12, A13 cùng S4/S5. A12X và A12Z về mặt lý thuyết cũng có khả năng hỗ trợ nhưng chưa được triển khai đầy đủ trong dự án gốc.

Do lỗi nằm rất sâu trong bộ điều khiển USB, việc khai thác cũng không đơn giản chỉ bằng cách kết nối iPhone với Mac hoặc PC.

Dự án hiện sử dụng các bo mạch dựa trên RP2350, chẳng hạn Waveshare RP2350 USB-A, Raspberry Pi Pico 2 hoặc một số bo mạch tương thích khác để thực hiện quá trình khai thác khi thiết bị đang ở DFU Mode.

Sau khi khai thác thành công, thiết bị có thể xuất hiện trạng thái PWND:[usbliter8], đồng thời công cụ đi kèm cho phép thực hiện những thao tác nghiên cứu boot chain như nạp raw iBoot hoặc demote production mode.

6.Phát hiện A14 vẫn rất đáng chú ý

Dù chưa mở ra usbliter8 cho iPhone 12 thương mại, nghiên cứu của Proteas vẫn có giá trị lớn.

Nó cho thấy lỗ hổng không nhất thiết dừng lại ở A13 như phạm vi khai thác công khai ban đầu. Kiến trúc A14 và thậm chí M1 đời sớm vẫn từng mang đặc điểm cho phép kỹ thuật tương tự hoạt động.

Quan trọng hơn, việc so sánh các revision SecureROM đã chỉ ra khá rõ đâu là thay đổi Apple thực hiện để vô hiệu hóa usbliter8: đưa đường USB DMA qua cơ chế ánh xạ và bảo vệ của DART thay vì để DMA làm việc với bộ nhớ theo cách của những revision trước.

Đây cũng có thể trở thành thông tin hữu ích cho các nhà nghiên cứu tiếp tục phân tích quá trình Apple chuyển đổi kiến trúc SecureROM từ A13 sang A14 và Apple Silicon.

7.Kết luận

Phát hiện mới không có nghĩa iPhone 12 đã chính thức nhận được một BootROM exploit mới.

Thay vào đó, kết quả cho thấy một câu chuyện thú vị hơn: usbliter8 từng tồn tại trên A14 và M1 trong quá trình phát triển, nhưng Apple đã sửa nó trước khi revision production được hoàn thiện.

Theo kết quả hiện tại:

• A14-A0: bị ảnh hưởng
• A14-B0: bị ảnh hưởng
• A14-B1 PROD: không bị ảnh hưởng
• M1-A0: bị ảnh hưởng
• M1-B1 PROD: không bị ảnh hưởng

Vì vậy, người dùng iPhone 12 không nên hiểu thông tin này thành việc thiết bị A14 thương mại đã có thể jailbreak bằng usbliter8. Tuy nhiên đối với cộng đồng nghiên cứu SecureROM và jailbreak, việc tìm thấy dấu vết của lỗ hổng trên A14 và M1 đời sớm vẫn là một phát hiện rất đáng chú ý.

Nguồn nghiên cứu

Proteas – usbliter8 on A14:
proteas.github.io – usbliter8 on A14

Mã nguồn usbliter8

GitHub – JoshAtticus/usbliter8