(Réseau de fork original à gauche)

Glass Cage : Chaîne d'exploitation PNG sans clic pour iOS 18.2.1

CVE-2025-24201 – Exécution de code à distance WebKit
CVE-2025-24085 – Élévation de privilèges Core Media

Signalé à Apple : 9 janvier 2025
Corrigé : février–mars 2025
Testé sur : iPhone 14 Pro Max (iOS 18.2.1)
Score CVSS de base : 9.8 (Critique)

---

Résumé

Glass Cage est une chaîne d'exploitation PNG critique sans clic découverte dans la nature ciblant iOS 18.2.1. L'attaque a été activement observée sur un appareil compromis et confirmée comme ayant été utilisée contre des cibles réelles avant le correctif du fournisseur.

Une image PNG malveillante envoyée via iMessage initie la chaîne en déclenchant l'analyse automatique dans MessagesBlastDoorService. L'image exploite une vulnérabilité de corruption de tas WebKit (CVE-2025-24201), suivie d'une évasion de sandbox et d'une élévation de privilèges au niveau du noyau dans Core Media (CVE-2025-24085).

La chaîne fournit finalement aux attaquants un accès de niveau root, un contrôle persistant, l'exfiltration du trousseau et même la capacité de briquer irréversiblement les appareils via la manipulation d'IORegistry. Aucune interaction de l'utilisateur n'est requise.

---

Chaîne d'exploitation

1. Création du PNG malveillant

   • Charges utiles HEIF intégrées avec des champs EXIF malformés
   • Déclenche une corruption de tas dans ATXEncoder

2. Déclenchement silencieux via iMessage

   • Fichier automatiquement traité par MessagesBlastDoorService
   • RCE atteint via WebKit (CVE-2025-24201)

3. Évasion de sandbox

   • WebKit contourne l'isolation des ressources pour accéder aux actifs privés

4. Élévation de privilèges

   • Défaut Core Media (CVE-2025-24085) permet l'accès au noyau
   • Exploite mediaplaybackd, codecctl et IOHIDInterface

5. Persistance et briquage

   • Injecte des démons malveillants via launchd
   • Détourne le réseau via wifid
   • Brique l'appareil via modification d'IORegistry

---

Indicateurs de compromission

• Recherches de ressources WebKit pour des actifs internes
• Attribution IP malveillante : 172.16.101.176
• Paramètres proxy modifiés dans wifid
• Accès anormal à CloudKeychainProxy
• Valeur IORegistry : IOAccessoryPowerSourceItemBrickLimit = 0

---

Chronologie

---

Divulgation

Cette chaîne d'exploitation a été découverte utilisée dans la nature et divulguée de manière responsable à Apple. Des correctifs ont depuis été publiés. Au moment de la découverte, une exploitation active a été confirmée.

---

Certification CNVD

Cette recherche a été indépendamment vérifiée et certifiée par la China National Vulnerability Database (CNVD). Ces certificats officiels confirment le statut à haut risque des deux vulnérabilités utilisées dans la chaîne d'exploitation Glass Cage :

• CNVD-2025-07885 – Use-After-Free dans Apple Media Services

• CNVD-2025-06744 – Dépassement de tampon dans Apple iOS/iPadOS Core Media

Chercheur : Joseph Goydish II
Type de soumission : Soumission de chercheur personnel
Autorité de certification : CNCERT / CNVD

---

Cartographie MITRE ATT&CK

---

Avis légal

Ce dépôt est fourni à des fins de recherche et d'éducation uniquement.
Les techniques décrites ne doivent pas être utilisées contre des systèmes sans autorisation appropriée.
L'auteur décline toute responsabilité en cas de mauvaise utilisation ou de dommages résultant des informations contenues dans ce document.

---

Références

• CVE-2025-24085 – Élévation de privilèges Core Media
• CVE-2025-24201 – Exécution de code à distance WebKit
• CNVD-2025-06744 – Dépassement de tampon iOS/iPadOS
• CNVD-2025-07885 – Use-After-Free dans Apple Media Services

---