bl_sbx

itunesstored & bookassetd Évasion de la sandbox

Ce dépôt contient une preuve de concept montrant comment des bases de données downloads.28.sqlitedb et BLDatabaseManager.sqlite malveillantes peuvent échapper à la sandbox d'itunesstored et bookassetd sur iOS. En abusant de leurs mécanismes de téléchargement, la POC permet d'écrire des fichiers arbitraires appartenant à mobile dans des emplacements restreints de /private/var/, y compris les fichiers de cache MobileGestalt — permettant des modifications de l'appareil comme usurper le type d'appareil.

Points clés

• Compatible avec iOS 26.2b1 et inférieur (testé sur iPhone 12, iOS 26.0.1).
• Étape 1 (itunesstored) : Livre une base BLDatabaseManager.sqlite fabriquée dans un conteneur accessible en écriture.
• Étape 2 (bookassetd) : Télécharge des payloads EPUB contrôlés par l'attaquant vers des chemins de fichiers arbitraires.
• Chemins accessibles en écriture :
  • /private/var/containers/Shared/SystemGroup/.../Library/Caches/
  • /private/var/mobile/Library/FairPlay/
  • /private/var/mobile/Media/
• Démontre la modification de com.apple.MobileGestalt.plist pour valider le succès de l'exploitation.

Résultat

iOS ne bloque pas les tâches de téléchargement fabriquées, permettant des écritures non autorisées de fichiers, sauf si le chemin cible nécessite la propriété root (ou que le propriétaire du fichier n'est pas mobile).

Consultez l'article de blog pour plus d'informations

Avertissement

Ce projet est à des fins éducatives uniquement.
Ne l'utilisez pas pour des activités illégales.
Apple peut corriger ce comportement à tout moment.