AppEnumGuard

AppEnumGuard هو تعديل rootHide دفاعي للقناة الجانبية لسرد التطبيقات المثبتة المتتبعة باسم CVE-2025-31207. وهو مصمم لـ كسر الحماية Relaxin على iOS 17.0–17.3.1، باستخدام بنية rootHide الخاصة بـ Relaxin. يحتوي المستودع أيضًا على تطبيق اختبار iOS معزول (sandboxed) عادي يوضح النتيجة القابلة للاستغلال ويتحقق من التخفيف.

CVE-2025-31207

CVE-2025-31207 هي ثغرة كشف معلومات في منطق FrontBoard الخاص بـ Apple لتشغيل التطبيقات. يمكن لتطبيق معزول (sandboxed) إرسال معرّفات حزم عشوائية عبر دالة تشغيل خاصة في SpringBoardServices والتمييز بين التطبيقات المثبتة والتطبيقات المفقودة باستخدام أكواد إرجاع مختلفة. يمكن أن يكشف هذا معلومات خاصة حول التطبيقات التي ثبتها المستخدم، بما في ذلك التطبيقات المصرفية وتطبيقات المراسلة والأمن والتثبيت الجانبي والتطبيقات المرتبطة بكسر الحماية.

تصف Apple المشكلة بأنها مشكلة منطقية قد تسمح لأي تطبيق بسرد التطبيقات المثبتة. صحّحت Apple ذلك بفحوصات محسّنة في iOS وiPadOS 18.5. وبالتالي، تظل iOS 17.0–17.3.1 متأثرة على مستوى نظام التشغيل.

التوافق

يستخدم Relaxin بنية rootHide الخاصة بالتمهيد/الحزم، لذلك تم بناء AppEnumGuard باستخدام rootHide Theos ويحتوي على مسارات محمّل rootHide .jbroot. تعلن الحزمة عن firmware (>= 17.0) وfirmware (<< 17.4)، بما يتوافق مع نطاق Relaxin المدعوم من 17.0 إلى 17.3.1.

تم التحقق من التعديل واختبار التطبيق معًا على جهاز Relaxin/rootHide حقيقي: اكتشف الاختبار التسريب عند إزالة التعديل، وعاد بنتيجة نجاح خضراء بعد تثبيت التعديل.

كيف يعمل

البدائية المنشورة تستدعي دالة SpringBoardServices الخاصة SBSLaunchApplicationWithIdentifierAndURLAndLaunchOptions. على نظام قابل للاستغلال، تُرجع أخطاء مختلفة لتطبيق مثبت وتطبيق مفقود:

• 9: الهدف موجود، لكن الإطلاق مرفوض حسب السياسة
• 7: الهدف غير موجود

يتم حقن التعديل في عمليات تطبيقات UIKit. بالنسبة لتطبيق عادي مثبت في الحاوية، يُرجع 7 دون إرسال طلب الإطلاق الخاص. تحتفظ Apple وعمليات النظام الأخرى خارج حاوية التطبيق بالسلوك الأصلي.

تنزيلات الإصدار

يحتوي كل إصدار على GitHub على كلٍّ من الأجزاء القابلة للتثبيت:

• AppEnumGuard_1.0.0_roothide_iphoneos-arm64e.deb — تعديل rootHide
• AppEnumGuardTester_1.0.0_sandboxed.ipa — تطبيق تحقق معزول (sandboxed)

التثبيت والتحقق

1. ثبّت ملف .deb الخاص بـ rootHide وأعد التشغيل (respring).
2. ثبّت ملف IPA الخاص بالاختبار باستخدام توقيع مطوّر/تثبيت جانبي عادي.
3. تأكد من تفعيل حقن التعديل لتطبيق AppEnum Test.
4. ثبّت WhatsApp، أو أدخل معرّف الحزمة لتطبيق آخر معروف ومثبت.
5. انقر على تشغيل المقارنة.

النتائج المتوقعة مع تثبيت WhatsApp:

أعاد اختبار الجهاز الأصلي إنتاج الحالتين: إلغاء تثبيت التعديل أنتج النتيجة الحمراء 9 / 7، بينما تثبيته أنتج النتيجة الخضراء 7 / 7.

بناء التعديل

ثبّت rootHide Theos، ثم شغّل:

cd Tweak
THEOS=/path/to/theos-roothide \
  make clean package FINALPACKAGE=1 THEOS_PACKAGE_SCHEME=roothide

بناء ملف IPA للاختبار

يُترجم الاختبار باستخدام iPhoneOS SDK من Xcode وليس لديه صلاحيات كسر حماية أو صلاحيات مرتفعة:

./scripts/build-tester-ipa.sh

يُوضع ملف IPA الناتج في dist/. وهو موقّع بشكل مؤقت (ad-hoc) بحيث يمكن لأداة التثبيت إعادة توقيعه بهوية تطوير عادية. لا تمنحه صلاحية platform-application أو com.apple.private.security.no-sandbox، لأن الاختبار مصمم تحديدًا للعمل من حاوية تطبيق عادية.

النطاق والقيود

• هذا تخفيف على مستوى مساحة المستخدم للبدائية المنشورة في SpringBoardServices، وليس تصحيح FrontBoard الكامل من Apple.
• التطبيق الذي يعطّل حقن التعديل لا يمكن حمايته بتعديل مُحقن من جهة العميل.
• اختبار 7 / 7 ذو معنى فقط عندما يكون التطبيق الهدف مثبتًا ومعروفًا.
• يستدعي الاختبار عن قصد واجهة برمجة تطبيقات خاصة غير موثقة، وهو غير مناسب للتقديم إلى App Store.

المراجع

• محتوى أمان Apple iOS 18.5
• NVD: CVE-2025-31207
• إثبات المفهوم العام الأصلي لـ SpringBoardServices
• توثيق مطوّري rootHide

الرخصة

MIT