(Original Fork Network Left)

Glass Cage: Cadena de Explotación PNG de Cero Clic para iOS 18.2.1

CVE-2025-24201 – Ejecución Remota de Código en WebKit
CVE-2025-24085 – Escalada de Privilegios en Core Media

Reportado a Apple: 9 de enero de 2025
Parcheado: febrero–marzo de 2025
Probado en: iPhone 14 Pro Max (iOS 18.2.1)
Puntuación Base CVSS: 9.8 (Crítico)

---

Resumen

Glass Cage es una cadena de explotación crítica basada en PNG de cero clic descubierta en estado salvaje que afecta a iOS 18.2.1. El ataque se observó activamente en un dispositivo comprometido y se confirmó su uso contra objetivos reales antes del parcheo por parte del proveedor.

Una imagen PNG maliciosa enviada a través de iMessage inicia la cadena al activar el análisis automático en MessagesBlastDoorService. La imagen explota una vulnerabilidad de corrupción de montón en WebKit (CVE-2025-24201), seguida de un escape del sandbox y una escalada de privilegios a nivel de kernel en Core Media (CVE-2025-24085).

La cadena finalmente proporciona a los atacantes acceso a nivel de root, control persistente, exfiltración del llavero, e incluso la capacidad de inutilizar dispositivos de forma irreversible mediante la manipulación de IORegistry. No se requiere interacción del usuario.

---

Cadena de Explotación

1. Creación de PNG malicioso

   • Cargas útiles HEIF incrustadas con campos EXIF malformados
   • Desencadena corrupción de montón en ATXEncoder

2. Disparo silencioso a través de iMessage

   • Archivo procesado automáticamente por MessagesBlastDoorService
   • RCE logrado mediante WebKit (CVE-2025-24201)

3. Escape del sandbox

   • WebKit evade el aislamiento de recursos para acceder a activos privados

4. Escalada de privilegios

   • Fallo en Core Media (CVE-2025-24085) permite acceso al kernel
   • Explota mediaplaybackd, codecctl y IOHIDInterface

5. Persistencia e inutilización

   • Inyecta demonios maliciosos a través de launchd
   • Secuestra la red mediante wifid
   • Inutiliza el dispositivo mediante modificación de IORegistry

---

Indicadores de Compromiso

• Búsquedas de recursos WebKit para activos internos
• Asignación de IP maliciosa: 172.16.101.176
• Configuración de proxy modificada en wifid
• Acceso anómalo a CloudKeychainProxy
• Valor de IORegistry: IOAccessoryPowerSourceItemBrickLimit = 0

---

Cronología

---

Divulgación

Esta cadena de explotación fue descubierta mientras se usaba en estado salvaje y se divulgó de manera responsable a Apple. Desde entonces se han publicado parches. En el momento del descubrimiento se confirmó la explotación activa.

---

Certificación CNVD

Esta investigación ha sido verificada y certificada de forma independiente por la Base de Datos Nacional de Vulnerabilidades de China (CNVD). Estos certificados oficiales confirman el estado de alto riesgo de ambas vulnerabilidades utilizadas en la cadena de explotación Glass Cage:

• CNVD-2025-07885 – Use-After-Free en Apple Media Services

• CNVD-2025-06744 – Desbordamiento de búfer en Apple iOS/iPadOS Core Media

Investigador: Joseph Goydish II
Tipo de envío: Envío de investigador personal
Autoridad de certificación: CNCERT / CNVD

---

Mapeo MITRE ATT&CK

---

Aviso Legal

Este repositorio se proporciona solo con fines de investigación y educativos.
Las técnicas descritas no deben utilizarse contra sistemas sin la debida autorización.
El autor no asume ninguna responsabilidad por el uso indebido o los daños derivados de la información contenida en este documento.

---

Referencias

• CVE-2025-24085 – Escalada de Privilegios en Core Media
• CVE-2025-24201 – Ejecución Remota de Código en WebKit
• CNVD-2025-06744 – Desbordamiento de búfer en iOS/iPadOS
• CNVD-2025-07885 – Use-After-Free en Apple Media Services

---