AppEnumGuard

AppEnumGuard ist ein defensives rootHide-Tweak für den Seitenkanal zur Aufzählung installierter Anwendungen, der als CVE-2025-31207 verfolgt wird. Es wurde für den Relaxin-Jailbreak auf iOS 17.0–17.3.1 entwickelt und nutzt Relaxins rootHide-Architektur. Das Repository enthält außerdem eine normale Sandbox-iOS-Testanwendung, die das verwundbare Ergebnis demonstriert und die Abschwächung verifiziert.

CVE-2025-31207

CVE-2025-31207 ist eine Schwachstelle durch Informationsoffenlegung in Apples FrontBoard-Anwendungsstartlogik. Eine Sandbox-Anwendung kann über eine private SpringBoardServices-Startfunktion beliebige Bundle-Identifikatoren übermitteln und installierte Anwendungen anhand unterschiedlicher Rückgabecodes von fehlenden Anwendungen unterscheiden. Dies kann private Informationen über die installierten Anwendungen eines Benutzers offenlegen, einschließlich Banking-, Messaging-, Sicherheits-, Sideloading- und Jailbreak-bezogenen Apps.

Apple beschreibt das Problem als ein Logikproblem, das es einer Anwendung ermöglichen könnte, installierte Apps aufzuzählen. Apple hat es mit verbesserten Prüfungen in iOS und iPadOS 18.5 korrigiert. Folglich bleibt iOS 17.0–17.3.1 auf Betriebssystemebene betroffen.

Kompatibilität

Relaxin verwendet die rootHide-Bootstrap-/Paketarchitektur, daher wird AppEnumGuard mit rootHide Theos erstellt und enthält rootHide-.jbroot-Loader-Pfade. Das Paket deklariert firmware (>= 17.0) und firmware (<< 17.4), entsprechend dem unterstützten Relaxin-Bereich von 17.0–17.3.1.

Das Tweak und der Tester wurden gemeinsam auf einem echten Relaxin/rootHide-Gerät verifiziert: Der Tester erkannte das Leck bei entferntem Tweak und lieferte nach der Installation des Tweaks ein grünes Ergebnis.

Funktionsweise

Der veröffentlichte Primitive ruft die private SpringBoardServices-Funktion SBSLaunchApplicationWithIdentifierAndURLAndLaunchOptions auf. Auf einem verwundbaren System gibt sie unterschiedliche Fehler für eine installierte und eine fehlende Anwendung zurück:

• 9: Ziel existiert, aber Start wird durch Richtlinie verweigert
• 7: Ziel existiert nicht

Das Tweak wird in UIKit-Anwendungsprozesse injiziert. Bei einer gewöhnlichen, im Container installierten Anwendung gibt es 7 zurück, ohne die private Startanfrage zu übermitteln. Apple- und andere Systemprozesse außerhalb des Anwendungscontainers behalten das ursprüngliche Verhalten bei.

Release-Downloads

Jedes GitHub-Release enthält beide installierbaren Artefakte:

• AppEnumGuard_1.0.0_roothide_iphoneos-arm64e.deb — rootHide-Tweak
• AppEnumGuardTester_1.0.0_sandboxed.ipa — Sandbox-Verifizierungs-App

Installieren und verifizieren

1. Installieren Sie das rootHide-.deb und führen Sie einen Respring durch.
2. Installieren Sie die Tester-IPA mit einer normalen Entwickler-/Sideloading-Signatur.
3. Stellen Sie sicher, dass die Tweak-Injektion für AppEnum Test aktiviert ist.
4. Installieren Sie WhatsApp oder geben Sie die Bundle-Kennung einer anderen bekannten installierten Anwendung ein.
5. Tippen Sie auf Vergleich ausführen.

Erwartete Ergebnisse bei installiertem WhatsApp:

Der ursprüngliche Gerätetest reproduzierte beide Zustände: Das Deinstallieren des Tweaks erzeugte das rote 9 / 7-Ergebnis, während die Installation das grüne 7 / 7-Ergebnis erzeugte.

Das Tweak erstellen

Installieren Sie rootHide Theos und führen Sie dann Folgendes aus:

cd Tweak
THEOS=/path/to/theos-roothide \
  make clean package FINALPACKAGE=1 THEOS_PACKAGE_SCHEME=roothide

Die Tester-IPA erstellen

Der Tester wird mit dem iPhoneOS SDK von Xcode kompiliert und besitzt keine Jailbreak- oder erhöhten Berechtigungen:

./scripts/build-tester-ipa.sh

Die resultierende IPA wird in dist/ abgelegt. Sie ist ad-hoc signiert, sodass ein Installationsprogramm sie mit einer normalen Entwicklungsidentität neu signieren kann. Gewähren Sie ihr nicht platform-application oder com.apple.private.security.no-sandbox, da der Test ausdrücklich dazu gedacht ist, aus einer normalen Anwendungssandbox zu laufen.

Umfang und Einschränkungen

• Dies ist eine User-Space-Abschwächung für den veröffentlichten SpringBoardServices-Primitive, nicht Apples vollständiger FrontBoard-Patch.
• Eine Anwendung, die die Tweak-Injektion deaktiviert, kann durch ein clientseitig injiziertes Tweak nicht geschützt werden.
• Ein 7 / 7-Test ist nur aussagekräftig, wenn bekannt ist, dass die Zielanwendung installiert ist.
• Der Tester ruft absichtlich eine undokumentierte private API auf und ist nicht für die Einreichung im App Store geeignet.

Referenzen

• Apple-Inhalte zur Sicherheit von iOS 18.5
• NVD: CVE-2025-31207
• Originaler öffentlicher SpringBoardServices-Proof-of-Concept
• rootHide-Entwicklerdokumentation

Lizenz

MIT