5ky9uy/glass-cage-i18-2025-24085-and-cve-2025-24201
Glass Cage est une chaîne RCE zero-click basée sur des PNG dans iOS 18.2.1, exploitant WebKit (CVE-2025-24201) et Core Media (CVE-2025-24085) pour parvenir à une évasion de sandbox, un accès au niveau du noyau et un brickage de l'appareil. Déclenchée via iMessage, elle permet une compromission totale sans aucune interaction de l'utilisateur.
(Réseau de fork original à gauche)
CVE-2025-24201 – Exécution de code à distance WebKit
CVE-2025-24085 – Élévation de privilèges Core Media
Signalé à Apple : 9 janvier 2025
Corrigé : février–mars 2025
Testé sur : iPhone 14 Pro Max (iOS 18.2.1)
Score CVSS de base : 9.8 (Critique)
Glass Cage est une chaîne d'exploitation PNG critique sans clic découverte dans la nature ciblant iOS 18.2.1. L'attaque a été activement observée sur un appareil compromis et confirmée comme ayant été utilisée contre des cibles réelles avant le correctif du fournisseur.
Une image PNG malveillante envoyée via iMessage initie la chaîne en déclenchant l'analyse automatique dans MessagesBlastDoorService. L'image exploite une vulnérabilité de corruption de tas WebKit (CVE-2025-24201), suivie d'une évasion de sandbox et d'une élévation de privilèges au niveau du noyau dans Core Media (CVE-2025-24085).
La chaîne fournit finalement aux attaquants un accès de niveau root, un contrôle persistant, l'exfiltration du trousseau et même la capacité de briquer irréversiblement les appareils via la manipulation d'IORegistry. Aucune interaction de l'utilisateur n'est requise.
ATXEncoderDéclenchement silencieux via iMessage
MessagesBlastDoorServiceÉvasion de sandbox
Élévation de privilèges
mediaplaybackd, codecctl et IOHIDInterfacePersistance et briquage
launchdwifid172.16.101.176wifidCloudKeychainProxyIOAccessoryPowerSourceItemBrickLimit = 0| Date | Événement |
|---|---|
| 9 janv. 2025 | Chaîne d'exploitation observée dans la nature |
| 9 janv. 2025 | Rapport initial soumis à US Cert et Apple |
| 20 fév. 2025 | CVE-2025-24085 corrigé (Core Media) |
| 7 mars 2025 | CVE-2025-24201 corrigé (WebKit) |
| 18 mars 2025 | CNVD-2025-06744 enregistré |
| 22 avr. 2025 | CNVD-2025-07885 enregistré |
Cette chaîne d'exploitation a été découverte utilisée dans la nature et divulguée de manière responsable à Apple. Des correctifs ont depuis été publiés. Au moment de la découverte, une exploitation active a été confirmée.
Cette recherche a été indépendamment vérifiée et certifiée par la China National Vulnerability Database (CNVD). Ces certificats officiels confirment le statut à haut risque des deux vulnérabilités utilisées dans la chaîne d'exploitation Glass Cage :
CNVD-2025-07885 – Use-After-Free dans Apple Media Services
CNVD-2025-06744 – Dépassement de tampon dans Apple iOS/iPadOS Core Media
Chercheur : Joseph Goydish II
Type de soumission : Soumission de chercheur personnel
Autorité de certification : CNCERT / CNVD
| Tactique | Technique |
|---|---|
| Accès initial | T1203 – Exploitation pour exécution client |
| Exécution | T1059 – Interpréteur de commandes et de scripts |
| Persistance | T1547 – Exécution automatique au démarrage ou à l'ouverture de session |
| Élévation de privilèges | T1068 – Exploitation pour élévation de privilèges |
| Contournement défensif | T1140 – Désobfuscation/décodage de fichiers |
| Impact | T1499 – Déni de service sur point de terminaison |
Ce dépôt est fourni à des fins de recherche et d'éducation uniquement.
Les techniques décrites ne doivent pas être utilisées contre des systèmes sans autorisation appropriée.
L'auteur décline toute responsabilité en cas de mauvaise utilisation ou de dommages résultant des informations contenues dans ce document.