(Rete Fork Originale a Sinistra)

Glass Cage: Catena di Exploit PNG Zero-Click per iOS 18.2.1

CVE-2025-24201 – Esecuzione di codice remoto in WebKit
CVE-2025-24085 – Escalation dei privilegi in Core Media

Segnalato ad Apple: 9 gennaio 2025
Corretto: febbraio–marzo 2025
Testato su: iPhone 14 Pro Max (iOS 18.2.1)
Punteggio Base CVSS: 9.8 (Critico)

---

Riepilogo

Glass Cage è una catena di exploit PNG zero-click critica scoperta in natura che colpisce iOS 18.2.1. L'attacco è stato osservato attivamente su un dispositivo compromesso e confermato essere stato utilizzato contro bersagli reali prima della correzione da parte del produttore.

Un'immagine PNG malintenzionata inviata tramite iMessage avvia la catena innescando l'analisi automatica in MessagesBlastDoorService. L'immagine sfrutta una vulnerabilità di corruzione dell'heap in WebKit (CVE-2025-24201), seguita da un escape dalla sandbox e da un'escalation dei privilegi a livello di kernel in Core Media (CVE-2025-24085).

La catena fornisce infine agli aggressori accesso root, controllo persistente, esfiltrazione del portachiavi e persino la capacità di rendere i dispositivi irreversibilmente inutilizzabili tramite manipolazione di IORegistry. Non è richiesta alcuna interazione da parte dell'utente.

---

Catena di Exploit

1. Creazione di PNG malintenzionato

   • Payload HEIF incorporati con campi EXIF malformati
   • Innesca la corruzione dell'heap in ATXEncoder

2. Attivazione silenziosa tramite iMessage

   • File elaborato automaticamente da MessagesBlastDoorService
   • RCE ottenuta attraverso WebKit (CVE-2025-24201)

3. Escape dalla sandbox

   • WebKit aggira l'isolamento delle risorse per accedere a risorse private

4. Escalation dei privilegi

   • Difetto in Core Media (CVE-2025-24085) abilita l'accesso al kernel
   • Sfrutta mediaplaybackd, codecctl e IOHIDInterface

5. Persistenza e danneggiamento del dispositivo

   • Inietta demoni rogue tramite launchd
   • Dirotta la rete attraverso wifid
   • Rende il dispositivo inutilizzabile tramite modifica di IORegistry

---

Indicatori di Compromissione

• Ricerche di risorse WebKit per asset interni
• Assegnazione IP rogue: 172.16.101.176
• Impostazioni proxy modificate in wifid
• Accesso anomalo a CloudKeychainProxy
• Valore IORegistry: IOAccessoryPowerSourceItemBrickLimit = 0

---

Cronologia

---

Divulgazione

Questa catena di exploit è stata scoperta mentre veniva utilizzata in natura e divulgata responsabilmente ad Apple. Le correzioni sono state rilasciate successivamente. Al momento della scoperta, lo sfruttamento attivo è stato confermato.

---

Certificazione CNVD

Questa ricerca è stata verificata e certificata indipendentemente dal China National Vulnerability Database (CNVD). Questi certificati ufficiali confermano lo stato ad alto rischio di entrambe le vulnerabilità utilizzate nella catena di exploit Glass Cage:

• CNVD-2025-07885 – Use-After-Free in Apple Media Services

• CNVD-2025-06744 – Buffer Overflow in Apple iOS/iPadOS Core Media

Ricercatore: Joseph Goydish II
Tipo di invio: Invio da ricercatore individuale
Autorità di certificazione: CNCERT / CNVD

---

Mappatura MITRE ATT&CK

---

Avviso Legale

Questo repository è fornito solo a scopo di ricerca e didattico.
Le tecniche descritte non devono essere utilizzate contro sistemi senza la dovuta autorizzazione.
L'autore non si assume alcuna responsabilità per uso improprio o danni derivanti dalle informazioni qui contenute.

---

Riferimenti

• CVE-2025-24085 – Escalation dei privilegi in Core Media
• CVE-2025-24201 – Esecuzione di codice remoto in WebKit
• CNVD-2025-06744 – Buffer Overflow in iOS/iPadOS
• CNVD-2025-07885 – Use-After-Free in Apple Media Services

---