(Original Fork Network Left)

Glass Cage: iOS 18.2.1向けゼロクリックPNGエクスプロイトチェーン

CVE-2025-24201 – WebKitリモートコード実行
CVE-2025-24085 – Core Media権限昇格

Appleへの報告: 2025年1月9日
パッチ適用: 2025年2月～3月
テスト環境: iPhone 14 Pro Max (iOS 18.2.1)
CVSS基本スコア: 9.8 (緊急)

---

概要

Glass Cageは、iOS 18.2.1を標的とした、実環境で発見された重大なゼロクリックPNGベースのエクスプロイトチェーンです。この攻撃は、侵害されたデバイスで積極的に観測され、ベンダーのパッチ適用前に実際の標的に対して使用されたことが確認されました。

iMessage経由で送信された悪意のあるPNGイメージは、MessagesBlastDoorServiceでの自動解析をトリガーすることでチェーンを開始します。このイメージはWebKitのヒープ破損の脆弱性(CVE-2025-24201)を悪用し、続いてサンドボックスエスケープとCore Mediaのカーネルレベルの権限昇格(CVE-2025-24085)を行います。

チェーンは最終的に攻撃者にルートレベルのアクセス、永続的な制御、キーチェーン流出、さらにはIORegistry操作によるデバイスの不可逆的な破壊機能を提供します。ユーザーの操作は一切不要です。

---

エクスプロイトチェーン

1. 悪意のあるPNG作成

   • 不正なEXIFフィールドを持つ埋め込みHEIFペイロード
   • ATXEncoderのヒープ破損をトリガー

2. iMessageによるサイレントトリガー

   • MessagesBlastDoorServiceによる自動ファイル処理
   • WebKit (CVE-2025-24201) によるRCE達成

3. サンドボックスエスケープ

   • WebKitがリソース分離をバイパスし、プライベートアセットにアクセス

4. 権限昇格

   • Core Mediaの欠陥(CVE-2025-24085)によりカーネルアクセスが可能
   • mediaplaybackd、codecctl、IOHIDInterfaceを悪用

5. 永続化と破壊

   • launchd経由で不正なデーモンを注入
   • wifidを通じてネットワークを乗っ取り
   • IORegistryの改変によりデバイスを破壊

---

侵害指標

• 内部アセットのWebKitリソース参照
• 不正なIP割り当て: 172.16.101.176
• wifidのプロキシ設定の改変
• CloudKeychainProxyへの異常なアクセス
• IORegistry値: IOAccessoryPowerSourceItemBrickLimit = 0

---

タイムライン

---

開示

このエクスプロイトチェーンは実環境で使用されていることが発見され、Appleに責任を持って開示されました。その後パッチがリリースされました。発見時点で、活発な悪用が確認されていました。

---

CNVD認証

この研究は、**中国国家脆弱性データベース (CNVD)**によって独立して検証・認証されています。これらの公式証明書は、Glass Cageエクスプロイトチェーンで使用された両方の脆弱性の高リスクステータスを確認しています。

• CNVD-2025-07885 – Apple Media ServicesにおけるUse-After-Free

• CNVD-2025-06744 – Apple iOS/iPadOS Core Mediaにおけるバッファオーバーフロー

研究者: Joseph Goydish II
提出種別: 個人研究者による提出
認証機関: CNCERT / CNVD

---

MITRE ATT&CKマッピング

---

法的通知

このリポジトリは研究および教育目的のみで提供されています。説明されている技術は、適切な許可なくシステムに対して使用してはなりません。著者は、ここに含まれる情報の誤用または損害について一切の責任を負いません。

---

参考文献

• CVE-2025-24085 – Core Media権限昇格
• CVE-2025-24201 – WebKitリモートコード実行
• CNVD-2025-06744 – iOS/iPadOSバッファオーバーフロー
• CNVD-2025-07885 – Apple Media ServicesにおけるUse-After-Free

---