Glass Cage: Catena di exploit PNG zero-click per iOS 18.2.1

• CVE-2025-43300: Scrittura O.o.B in ImageIO
• CVE-2025-24201: Esecuzione di codice remota in WebKit
• CVE-2025-24085: Escalation dei privilegi in Core Media

Corretto: gennaio-marzo 2025
Testato su: iPhone 14 Pro Max (iOS 18.2.1)

Analisi VirusTotal (Hash verificato)

---

Riepilogo

Glass Cage è una catena di exploit critica, zero-click, basata su PNG, scoperta in the wild che colpisce iOS 18.2.1. L'attacco è stato osservato attivamente su un dispositivo compromesso ed è stato confermato l'utilizzo contro obiettivi reali prima della correzione da parte del vendor.

Un'immagine PNG dannosa inviata tramite iMessage avvia la catena innescando l'analisi automatica in MessagesBlastDoorService (CVE-2025-43300). L'immagine sfrutta una vulnerabilità di corruzione dell'heap in WebKit (CVE-2025-24201), seguita da un'evasione della sandbox e da un'escalation dei privilegi a livello di kernel in Core Media (CVE-2025-24085).

La catena fornisce infine agli attaccanti accesso di livello root, controllo persistente, esfiltrazione del portachiavi e persino la capacità di rendere irreversibilmente inutilizzabili i dispositivi tramite la manipolazione di IORegistry. Non è richiesta alcuna interazione da parte dell'utente.

Prove dai log:

https://ia600508.us.archive.org/8/items/cve-2025-24085-24201/cve%202025-24085%3B%2024201.mov

---

Catena di exploit

1. Creazione del PNG dannoso

   • Payload HEIF incorporati con campi EXIF malformati
   • Innesca la corruzione dell'heap in ATXEncoder (CVE-2025-43300)

2. Innesco silenzioso tramite iMessage

   • File elaborato automaticamente da MessagesBlastDoorService
   • RCE ottenuta tramite WebKit (CVE-2025-24201)

3. Evasione della sandbox

   • WebKit bypassa l'isolamento delle risorse per accedere agli asset privati

4. Escalation dei privilegi

   • La falla di Core Media consente l'accesso al kernel
   • Sfrutta mediaplaybackd, codecctl e IOHIDInterface (CVE-2025-24085)

5. Persistenza e bricking

   • Inietta demoni rogue tramite launchd
   • Dirotta la rete tramite wifid
   • Rende il dispositivo inutilizzabile tramite la modifica di IORegistry

---

Indicatori di compromissione

• Ricerche di risorse WebKit per asset interni
• Assegnazione di IP rogue: 172.16.101.176
• Impostazioni proxy modificate in wifid
• Accesso anomalo a CloudKeychainProxy
• Valore IORegistry: IOAccessoryPowerSourceItemBrickLimit = 0

---

Cronologia

---

Divulgazione

Questa catena di exploit è stata scoperta mentre veniva utilizzata in the wild ed è stata divulgata in modo responsabile ad Apple. Da allora sono state rilasciate patch. Al momento della scoperta, è stato confermato uno sfruttamento attivo.

---

Certificazione CNVD

Questa ricerca è stata verificata e certificata in modo indipendente dal China National Vulnerability Database (CNVD). Questi certificati ufficiali confermano lo stato ad alto rischio di entrambe le vulnerabilità utilizzate nella catena di exploit Glass Cage:

• CNVD-2025-07885 – Use-After-Free in Apple Media Services

• CNVD-2025-06744 – Buffer Overflow in Apple iOS/iPadOS Core Media

Ricercatore: Joseph Goydish II Tipo di invio: Invio personale del ricercatore
Autorità di certificazione: CNCERT / CNVD

---

Perché è importante

iMessage crea una miniatura e un avviso di testo in arrivo non appena un messaggio viene consegnato, e quella miniatura viene analizzata automaticamente. Se questa analisi può essere trasformata in un'arma, la semplice consegna (miniatura + avviso) è sufficiente per una compromissione istantanea e silenziosa: nessuna azione da parte dell'utente, nessun avviso.

---

Riferimenti

• CVE-2025-24085 – Escalation dei privilegi in Core Media
• CVE-2025-24201 – Esecuzione di codice remota in WebKit
• CNVD-2025-06744 – Buffer overflow in iOS/iPadOS
• CNVD-2025-07885 – Use-After-Free in Apple Media Services

---