Glass Cage: سلسلة استغلال PNG بدون نقر (Zero-Click) لنظام iOS 18.2.1

• CVE-2025-43300: كتابة خارج الحدود (O.o.B) في ImageIO
• CVE-2025-24201: تنفيذ كود عن بُعد في WebKit
• CVE-2025-24085: تصعيد صلاحيات في Core Media

تم التصحيح: يناير–مارس 2025
تم الاختبار على: iPhone 14 Pro Max (iOS 18.2.1)

تحليل VirusTotal (هاش مُتحقَّق منه)

---

الملخص

Glass Cage هي سلسلة استغلال حرجة قائمة على PNG بدون أي نقرة، اكتُشفت في البرية وتستهدف iOS 18.2.1. وقد رُصد الهجوم فعليًا على جهاز مخترَق، وتأكد استخدامه ضد أهداف حقيقية قبل إصدار البائع للتصحيحات.

تبدأ السلسلة بصور PNG خبيثة تُرسَل عبر iMessage، إذ تُطلق التحليل التلقائي في MessagesBlastDoorService (CVE-2025-43300). تستغل الصورة ثغرة تلف الكومة (heap) في WebKit (CVE-2025-24201)، يليها الهروب من بيئة العزل (sandbox) ثم تصعيد صلاحيات على مستوى النواة في Core Media (CVE-2025-24085).

تمنح السلسلة المهاجمين في النهاية وصولًا بصلاحيات الجذر، وتحكمًا دائمًا، وسرقة بيانات سلسلة المفاتيح (keychain)، وحتى القدرة على تعطيل الأجهزة نهائيًا بشكل لا رجعة فيه عبر التلاعب بـ IORegistry. لا يتطلب الأمر أي تفاعل من المستخدم.

دليل السجلات:

https://ia600508.us.archive.org/8/items/cve-2025-24085-24201/cve%202025-24085%3B%2024201.mov

---

سلسلة الاستغلال

1. إنشاء PNG خبيثة

   • حمولات HEIF مضمّنة بحقول EXIF تالفة
   • تُطلق تلف الكومة في ATXEncoder (CVE-2025-43300)

2. التشغيل الصامت عبر iMessage

   • تتم معالجة الملف تلقائيًا بواسطة MessagesBlastDoorService
   • يتحقق تنفيذ الكود عن بُعد عبر WebKit (CVE-2025-24201)

3. الهروب من بيئة العزل

   • يتجاوز WebKit عزل الموارد للوصول إلى الأصول الخاصة

4. تصعيد الصلاحيات

   • تتيح ثغرة في Core Media الوصول إلى النواة
   • يستغل mediaplaybackd وcodecctl وIOHIDInterface (CVE-2025-24085)

5. الثبات والتعطيل الدائم

   • يحقن برامج خدمية (daemons) مارقة عبر launchd
   • يختطف الشبكة عبر wifid
   • يعطّل الجهاز نهائيًا عبر تعديل IORegistry

---

مؤشرات الاختراق

• عمليات بحث في WebKit عن موارد لأصول داخلية
• تعيين عنوان IP مارق: 172.16.101.176
• إعدادات وكيل معدّلة في wifid
• وصول غير طبيعي إلى CloudKeychainProxy
• قيمة IORegistry: IOAccessoryPowerSourceItemBrickLimit = 0

---

الجدول الزمني

---

الإفصاح

اكتُشفت هذه السلسلة وهي مستخدمة في البرية، وجرى الإفصاح عنها بشكل مسؤول إلى Apple. ومنذ ذلك الحين صدرت التصحيحات. وفي وقت الاكتشاف، تأكد وجود استغلال نشط.

---

شهادة CNVD

تم التحقق من هذا البحث واعتماده بشكل مستقل من قبل قاعدة بيانات الثغرات الوطنية الصينية (CNVD). تؤكد هذه الشهادات الرسمية حالة الخطر العالي لكلتا الثغرتين المستخدمتين في سلسلة استغلال Glass Cage:

• CNVD-2025-07885 – استخدام بعد التحرير (Use-After-Free) في خدمات الوسائط من Apple

• CNVD-2025-06744 – تجاوز سعة المخزن المؤقت (Buffer Overflow) في Core Media لنظامَي Apple iOS/iPadOS

الباحث: Joseph Goydish II نوع التقديم: تقديم باحث شخصي جهة الاعتماد: CNCERT / CNVD

---

لماذا يهم هذا الأمر

ينشئ iMessage صورة مصغّرة وتنبيهًا بالنص الوارد فور تسليم الرسالة، وتُحلَّل تلك الصورة المصغّرة تلقائيًا. وإذا أمكن تسليح هذا التحليل، فإن مجرد التسليم (الصورة المصغّرة + التنبيه) يكفي لاختراق فوري وصامت — دون أي إجراء من المستخدم أو أي تحذير.

---

المراجع

• CVE-2025-24085 – تصعيد صلاحيات Core Media
• CVE-2025-24201 – تنفيذ كود عن بُعد في WebKit
• CNVD-2025-06744 – تجاوز سعة المخزن المؤقت في iOS/iPadOS
• CNVD-2025-07885 – استخدام بعد التحرير في خدمات الوسائط من Apple