bl_sbx

itunesstored y bookassetd: escape de la sandbox

Este repositorio contiene una prueba de concepto que demuestra cómo bases de datos maliciosamente diseñadas downloads.28.sqlitedb y BLDatabaseManager.sqlite pueden escapar de la sandbox de itunesstored y bookassetd en iOS. Al abusar de sus mecanismos de descarga, la PoC permite escribir archivos arbitrarios propiedad de mobile en ubicaciones restringidas dentro de /private/var/, incluidos los archivos de caché de MobileGestalt, lo que permite modificaciones del dispositivo, como la suplantación del tipo de dispositivo.

Puntos clave

• Compatible con iOS 26.2b1 y anteriores (probado en iPhone 12, iOS 26.0.1).
• Etapa 1 (itunesstored): Entrega un BLDatabaseManager.sqlite manipulado a un contenedor escribible.
• Etapa 2 (bookassetd): Descarga payloads EPUB controlados por el atacante a rutas de archivo arbitrarias.
• Las rutas escribibles incluyen:
  • /private/var/containers/Shared/SystemGroup/.../Library/Caches/
  • /private/var/mobile/Library/FairPlay/
  • /private/var/mobile/Media/
• Demuestra la modificación de com.apple.MobileGestalt.plist para validar el éxito de la explotación.

Resultado

iOS no bloquea las tareas de descarga manipuladas, lo que permite escrituras de archivos no autorizadas, a menos que la ruta de destino requiera propiedad de root (o que el propietario del archivo no sea mobile).

Consulta la publicación del blog para obtener más información

Aviso legal

Este proyecto es solo con fines educativos.
No lo uses para actividades ilegales.
Apple puede corregir este comportamiento en cualquier momento.