bl_sbx

Evasione dalla sandbox di itunesstored & bookassetd

Questo repository contiene una prova di concetto che dimostra come database downloads.28.sqlitedb e BLDatabaseManager.sqlite creati in modo dannoso possano evadere dalla sandbox di itunesstored e bookassetd su iOS. Abusando dei loro meccanismi di download, la POC consente di scrivere file arbitrari di proprietà di mobile in posizioni riservate in /private/var/, inclusi i file cache di MobileGestalt—consentendo modifiche al dispositivo come lo spoofing del tipo di dispositivo.

Punti Chiave

• Compatibile con iOS 26.2b1 e versioni precedenti (testato su iPhone 12, iOS 26.0.1).
• Fase 1 (itunesstored): Fornisce un BLDatabaseManager.sqlite appositamente creato a un container scrivibile.
• Fase 2 (bookassetd): Scarica payload EPUB controllati dall'attaccante in percorsi di file arbitrari.
• I percorsi scrivibili includono:
  • /private/var/containers/Shared/SystemGroup/.../Library/Caches/
  • /private/var/mobile/Library/FairPlay/
  • /private/var/mobile/Media/
• Dimostra la modifica di com.apple.MobileGestalt.plist per convalidare il successo dello sfruttamento.

Risultato

iOS non riesce a bloccare i task di download appositamente creati, consentendo scritture di file non autorizzate a meno che il percorso di destinazione non richieda la proprietà di root (o il proprietario del file non sia mobile).

Consulta il post del blog per maggiori informazioni

Avvertenza

Questo progetto è solo a scopo educativo.
Non usarlo per attività illegali.
Apple potrebbe correggere questo comportamento in qualsiasi momento.