AppEnumGuard

AppEnumGuard est un tweak rootHide défensif pour le canal auxiliaire d'énumération des applications installées, suivi sous la référence CVE-2025-31207. Il est conçu pour le jailbreak Relaxin sur iOS 17.0–17.3.1, en utilisant l'architecture rootHide de Relaxin. Le dépôt contient également une application de test iOS sandboxée standard qui démontre le résultat vulnérable et vérifie l'atténuation.

CVE-2025-31207

CVE-2025-31207 est une vulnérabilité de divulgation d'informations dans la logique de lancement d'applications FrontBoard d'Apple. Une application sandboxée peut soumettre des identifiants de bundle arbitraires via une fonction de lancement privée de SpringBoardServices et distinguer les applications installées des applications manquantes grâce à des codes de retour différents. Cela peut révéler des informations privées sur les applications installées par un utilisateur, notamment les applications bancaires, de messagerie, de sécurité, de sideloading et liées au jailbreak.

Apple décrit le problème comme un problème de logique qui pourrait permettre à une application d'énumérer les applications installées. Apple l'a corrigé avec des contrôles améliorés dans iOS et iPadOS 18.5. Par conséquent, iOS 17.0–17.3.1 reste affecté au niveau du système d'exploitation.

Compatibilité

Relaxin utilise l'architecture bootstrap/paquet rootHide, donc AppEnumGuard est compilé avec rootHide Theos et contient les chemins du chargeur .jbroot de rootHide. Le paquet déclare firmware (>= 17.0) et firmware (<< 17.4), correspondant à la plage Relaxin prise en charge de 17.0–17.3.1.

Le tweak et le testeur ont été vérifiés ensemble sur un véritable appareil Relaxin/rootHide : le testeur a détecté la fuite avec le tweak supprimé et a renvoyé un résultat vert après l'installation du tweak.

Fonctionnement

La primitive publiée appelle la fonction privée SpringBoardServices SBSLaunchApplicationWithIdentifierAndURLAndLaunchOptions. Sur un système vulnérable, elle renvoie des erreurs différentes pour une application installée et une application manquante :

• 9 : la cible existe, mais le lancement est refusé par la politique
• 7 : la cible n'existe pas

Le tweak est injecté dans les processus des applications UIKit. Pour une application ordinaire installée dans un conteneur, il renvoie 7 sans soumettre la requête de lancement privée. Les processus Apple et autres processus système hors du conteneur de l'application conservent le comportement d'origine.

Téléchargements des versions

Chaque version GitHub contient les deux artefacts installables :

• AppEnumGuard_1.0.0_roothide_iphoneos-arm64e.deb — tweak rootHide
• AppEnumGuardTester_1.0.0_sandboxed.ipa — application de vérification sandboxée

Installation et vérification

1. Installez le .deb rootHide et effectuez un respring.
2. Installez l'IPA de test avec une signature développeur/sideloading normale.
3. Assurez-vous que l'injection du tweak est activée pour AppEnum Test.
4. Installez WhatsApp, ou saisissez l'identifiant de bundle d'une autre application connue installée.
5. Touchez Exécuter la comparaison.

Résultats attendus avec WhatsApp installé :

Le test sur l'appareil d'origine a reproduit les deux états : la désinstallation du tweak a produit le résultat rouge 9 / 7, tandis que son installation a produit le résultat vert 7 / 7.

Compiler le tweak

Installez rootHide Theos, puis exécutez :

cd Tweak
THEOS=/path/to/theos-roothide \
  make clean package FINALPACKAGE=1 THEOS_PACKAGE_SCHEME=roothide

Compiler l'IPA de test

Le testeur est compilé avec le SDK iPhoneOS de Xcode et ne comporte ni jailbreak ni entitlements élevés :

./scripts/build-tester-ipa.sh

L'IPA obtenu est placé dans dist/. Il est signé ad-hoc, un installateur peut donc le re-signer avec une identité de développement normale. Ne lui accordez pas platform-application ni com.apple.private.security.no-sandbox, car le test est précisément conçu pour s'exécuter depuis un sandbox d'application normal.

Portée et limites

• Il s'agit d'une atténuation en espace utilisateur pour la primitive SpringBoardServices publiée, et non du correctif FrontBoard complet d'Apple.
• Une application qui désactive l'injection de tweak ne peut pas être protégée par un tweak injecté côté client.
• Un test 7 / 7 n'est significatif que lorsque l'application cible est connue pour être installée.
• Le testeur appelle intentionnellement une API privée non documentée et ne convient pas à une soumission à l'App Store.

Références

• Contenu de sécurité iOS 18.5 d'Apple
• NVD : CVE-2025-31207
• Preuve de concept publique originale SpringBoardServices
• Documentation développeur rootHide

Licence

MIT