bl_sbx

itunesstored & bookassetd Sandbox-Escape

Dieses Repository enthält einen Proof-of-Concept, der zeigt, wie böswillig gestaltete Datenbanken downloads.28.sqlitedb und BLDatabaseManager.sqlite die Sandbox von itunesstored und bookassetd auf iOS umgehen können. Durch Missbrauch ihrer Download-Mechanismen ermöglicht der POC, beliebige Dateien im Besitz von mobile an eingeschränkte Speicherorte in /private/var/ zu schreiben, einschließlich MobileGestalt-Cache-Dateien – was Gerätemodifikationen wie das Spoofing des Gerätetyps ermöglicht.

Wichtige Punkte

• Kompatibel mit iOS 26.2b1 und niedriger (getestet auf iPhone 12, iOS 26.0.1).
• Stufe 1 (itunesstored): Liefert eine manipulierte BLDatabaseManager.sqlite an einen beschreibbaren Container.
• Stufe 2 (bookassetd): Lädt vom Angreifer kontrollierte EPUB-Payloads an beliebige Dateipfade herunter.
• Beschreibbare Pfade umfassen:
  • /private/var/containers/Shared/SystemGroup/.../Library/Caches/
  • /private/var/mobile/Library/FairPlay/
  • /private/var/mobile/Media/
• Demonstriert das Modifizieren von com.apple.MobileGestalt.plist, um eine erfolgreiche Ausnutzung zu validieren.

Ergebnis

iOS schafft es nicht, manipulierte Download-Aufgaben zu blockieren, was unbefugte Dateischreibvorgänge ermöglicht, sofern der Zielpfad nicht root-Besitz erfordert (oder der Dateibesitzer nicht mobile ist).

Weitere Informationen im Blogbeitrag

Haftungsausschluss

Dieses Projekt dient ausschließlich Bildungszwecken.
Verwenden Sie es nicht für illegale Aktivitäten.
Apple kann dieses Verhalten jederzeit patchen.