ग्लास केज: iOS 18.2.1 के लिए ज़ीरो-क्लिक PNG एक्सप्लॉइट चेन

• CVE-2025-43300: ImageIO में O.o.B राइट
• CVE-2025-24201: WebKit रिमोट कोड एक्ज़ीक्यूशन
• CVE-2025-24085: Core Media विशेषाधिकार वृद्धि

पैच किया गया: जनवरी-मार्च 2025
परीक्षण किया गया: iPhone 14 Pro Max (iOS 18.2.1)

VirusTotal विश्लेषण (सत्यापित हैश)

---

सारांश

ग्लास केज एक गंभीर, ज़ीरो-क्लिक PNG-आधारित एक्सप्लॉइट चेन है जो iOS 18.2.1 को लक्षित करते हुए वास्तविक दुनिया (in the wild) में खोजी गई। यह हमला एक समझौता किए गए डिवाइस पर सक्रिय रूप से देखा गया और विक्रेता द्वारा पैच जारी करने से पहले वास्तविक दुनिया के लक्ष्यों के विरुद्ध उपयोग किए जाने की पुष्टि की गई।

iMessage के माध्यम से भेजी गई एक दुर्भावनापूर्ण PNG छवि, MessagesBlastDoorService (CVE-2025-43300) में स्वचालित पार्सिंग को ट्रिगर करके चेन शुरू करती है। यह छवि WebKit हीप करप्शन भेद्यता (CVE-2025-24201) का फायदा उठाती है, उसके बाद सैंडबॉक्स एस्केप और Core Media में कर्नेल-स्तरीय विशेषाधिकार वृद्धि (CVE-2025-24085) होती है।

यह चेन अंततः हमलावरों को रूट-स्तरीय पहुंच, स्थायी नियंत्रण, कीचेन डेटा निष्कासन, और यहां तक कि IORegistry हेरफेर के माध्यम से डिवाइसों को अपरिवर्तनीय रूप से ब्रिक करने की क्षमता प्रदान करती है। किसी उपयोगकर्ता इंटरैक्शन की आवश्यकता नहीं है।

लॉग साक्ष्य:

https://ia600508.us.archive.org/8/items/cve-2025-24085-24201/cve%202025-24085%3B%2024201.mov

---

एक्सप्लॉइट चेन

1. दुर्भावनापूर्ण PNG निर्माण

   • दोषपूर्ण EXIF फ़ील्ड्स के साथ एम्बेडेड HEIF पेलोड
   • ATXEncoder (CVE-2025-43300) में हीप करप्शन ट्रिगर करता है

2. iMessage के माध्यम से मूक ट्रिगर

   • फ़ाइल स्वचालित रूप से MessagesBlastDoorService द्वारा प्रोसेस की जाती है
   • WebKit (CVE-2025-24201) के माध्यम से RCE प्राप्त होता है

3. सैंडबॉक्स एस्केप

   • WebKit निजी एसेट्स तक पहुंचने के लिए संसाधन अलगाव को बायपास करता है

4. विशेषाधिकार वृद्धि

   • Core Media दोष कर्नेल एक्सेस सक्षम करता है
   • mediaplaybackd, codecctl और IOHIDInterface (CVE-2025-24085) का शोषण करता है

5. स्थायित्व (Persistence) और ब्रिकिंग

   • launchd के माध्यम से दुष्ट डेमन्स इंजेक्ट करता है
   • wifid के माध्यम से नेटवर्क को हाईजैक करता है
   • IORegistry संशोधन के माध्यम से डिवाइस को ब्रिक करता है

---

समझौते के संकेत

• आंतरिक एसेट्स के लिए WebKit संसाधन लुकअप
• दुष्ट IP असाइनमेंट: 172.16.101.176
• wifid में संशोधित प्रॉक्सी सेटिंग्स
• CloudKeychainProxy तक असामान्य पहुंच
• IORegistry मान: IOAccessoryPowerSourceItemBrickLimit = 0

---

समयरेखा

---

प्रकटीकरण

यह एक्सप्लॉइट चेन वास्तविक दुनिया में उपयोग होते हुए खोजी गई और जिम्मेदारीपूर्वक Apple को प्रकट की गई। तब से पैच जारी किए जा चुके हैं। खोज के समय, सक्रिय शोषण की पुष्टि की गई थी।

---

CNVD प्रमाणन

इस शोध को चाइना नेशनल वल्नरेबिलिटी डेटाबेस (CNVD) द्वारा स्वतंत्र रूप से सत्यापित और प्रमाणित किया गया है। ये आधिकारिक प्रमाणपत्र ग्लास केज एक्सप्लॉइट चेन में उपयोग की गई दोनों भेद्यताओं की उच्च-जोखिम स्थिति की पुष्टि करते हैं:

• CNVD-2025-07885 – Apple Media Services में यूज़-आफ्टर-फ्री

• CNVD-2025-06744 – Apple iOS/iPadOS Core Media में बफर ओवरफ्लो

शोधकर्ता: Joseph Goydish II सबमिशन प्रकार: व्यक्तिगत शोधकर्ता सबमिशन
प्रमाणन प्राधिकरण: CNCERT / CNVD

---

यह क्यों मायने रखता है

iMessage संदेश डिलीवर होते ही एक थंबनेल और इनकमिंग-टेक्स्ट अलर्ट बनाता है, और वह थंबनेल स्वचालित रूप से पार्स हो जाता है। यदि उस पार्सिंग को हथियार बनाया जा सकता है, तो केवल डिलीवरी (थंबनेल + अलर्ट) तत्काल, मूक समझौते के लिए पर्याप्त है — कोई उपयोगकर्ता क्रिया नहीं, कोई चेतावनी नहीं।

---

संदर्भ

• CVE-2025-24085 – Core Media विशेषाधिकार वृद्धि
• CVE-2025-24201 – WebKit रिमोट कोड एक्ज़ीक्यूशन
• CNVD-2025-06744 – iOS/iPadOS बफर ओवरफ्लो
• CNVD-2025-07885 – Apple Media Services में यूज़-आफ्टर-फ्री

---