Glass Cage: Zero-Click-PNG-Exploit-Kette für iOS 18.2.1

CVE-2025-24201 – WebKit Remote-Code-Ausführung
CVE-2025-24085 – Core Media Privilegieneskalation

An Apple gemeldet: 9. Januar 2025
Gepatched: Februar–März 2025
Getestet auf: iPhone 14 Pro Max (iOS 18.2.1)
CVSS-Basiswert: 9.8 (Kritisch)

---

Zusammenfassung

Glass Cage ist eine kritische, Zero-Click-PNG-basierte Exploit-Kette, die in freier Wildbahn entdeckt wurde und auf iOS 18.2.1 abzielt. Der Angriff wurde aktiv auf einem kompromittierten Gerät beobachtet und bestätigt, dass er vor dem Patchen durch den Anbieter gegen reale Ziele eingesetzt wurde.

Ein bösartiges PNG-Bild, das über iMessage gesendet wird, leitet die Kette ein, indem es das automatische Parsen in MessagesBlastDoorService auslöst. Das Bild nutzt eine WebKit-Heap-Korruptionssicherheitslücke (CVE-2025-24201) aus, gefolgt von einem Sandbox-Escape und einer Kernel-Level-Privilegieneskalation in Core Media (CVE-2025-24085).

Die Kette verschafft Angreifern letztendlich Root-Zugriff, persistente Kontrolle, Exfiltration des Schlüsselbunds und sogar die Fähigkeit, Geräte durch IORegistry-Manipulation irreversibel zu brickieren. Es ist keine Benutzerinteraktion erforderlich.

---

Exploit-Kette

1. Erstellung eines bösartigen PNGs

   • Eingebettete HEIF-Payloads mit fehlerhaften EXIF-Feldern
   • Löst Heap-Korruption in ATXEncoder aus

2. Stiller Auslöser über iMessage

   • Datei wird automatisch von MessagesBlastDoorService verarbeitet
   • RCE durch WebKit erreicht (CVE-2025-24201)

3. Sandbox-Escape

   • WebKit umgeht die Ressourcenisolierung, um auf private Assets zuzugreifen

4. Privilegieneskalation

   • Core-Media-Fehler (CVE-2025-24085) ermöglicht Kernel-Zugriff
   • Nutzt mediaplaybackd, codecctl und IOHIDInterface aus

5. Persistenz und Bricking

   • Injiziert schadhafte Dämonen über launchd
   • Entführt Netzwerk über wifid
   • Brickt Gerät durch IORegistry-Modifikation

---

Indikatoren für eine Kompromittierung

• WebKit-Ressourcenabfragen für interne Assets
• Nicht autorisierte IP-Zuweisung: 172.16.101.176
• Geänderte Proxy-Einstellungen in wifid
• Anomaler Zugriff auf CloudKeychainProxy
• IORegistry-Wert: IOAccessoryPowerSourceItemBrickLimit = 0

---

Zeitplan

---

Offenlegung

Diese Exploit-Kette wurde in freier Wildbahn entdeckt und verantwortungsvoll an Apple gemeldet. Seitdem wurden Patches veröffentlicht. Zum Zeitpunkt der Entdeckung wurde eine aktive Ausnutzung bestätigt.

---

CNVD-Zertifizierung

Diese Forschung wurde unabhängig von der China National Vulnerability Database (CNVD) verifiziert und zertifiziert. Diese offiziellen Zertifikate bestätigen den hohen Risikostatus beider in der Glass-Cage-Exploit-Kette verwendeten Schwachstellen:

• CNVD-2025-07885 – Use-After-Free in Apple Media Services

• CNVD-2025-06744 – Buffer Overflow in Apple iOS/iPadOS Core Media

Forscher: Joseph Goydish II
Einreichungsart: Persönliche Forschereinreichung
Zertifizierungsstelle: CNCERT / CNVD

---

MITRE ATT&CK-Zuordnung

---

Rechtlicher Hinweis

Dieses Repository wird nur zu Forschungs- und Bildungszwecken bereitgestellt.
Die beschriebenen Techniken dürfen nicht ohne entsprechende Autorisierung gegen Systeme eingesetzt werden.
Der Autor übernimmt keine Haftung für Missbrauch oder Schäden, die aus den hierin enthaltenen Informationen entstehen.

---

Referenzen

• CVE-2025-24085 – Core Media Privilegieneskalation
• CVE-2025-24201 – WebKit Remote-Code-Ausführung
• CNVD-2025-06744 – iOS/iPadOS Pufferüberlauf
• CNVD-2025-07885 – Use-After-Free in Apple Media Services

---