bl_sbx

itunesstored & bookassetd サンドボックスエスケープ

このリポジトリには、巧妙に細工された downloads.28.sqlitedb および BLDatabaseManager.sqlite データベースが iOS 上の itunesstored と bookassetd のサンドボックスをエスケープできることを示す概念実証が含まれています。これらのダウンロード機構を悪用することで、POC は /private/var/ 内の制限された場所に任意の mobile 所有ファイルを書き込むことができ、MobileGestalt キャッシュファイルも含まれるため、デバイスタイプの偽装などのデバイス改変が可能になります。

主要ポイント

• iOS 26.2b1 以下と互換性あり（iPhone 12、iOS 26.0.1 でテスト済み）。
• ステージ 1（itunesstored）： 細工された BLDatabaseManager.sqlite を書き込み可能なコンテナに配信します。
• ステージ 2（bookassetd）： 攻撃者が制御する EPUB ペイロードを任意のファイルパスにダウンロードさせます。
• 書き込み可能なパスには以下が含まれます：
  • /private/var/containers/Shared/SystemGroup/.../Library/Caches/
  • /private/var/mobile/Library/FairPlay/
  • /private/var/mobile/Media/
• com.apple.MobileGestalt.plist を改変して、悪用の成功を検証することを示します。

結果

iOS は細工されたダウンロードタスクをブロックできず、対象パスが root 所有（またはファイル所有者が mobile ではない）を必要としない限り、不正なファイル書き込みが可能になります。

詳細はブログ記事を参照してください

免責事項

このプロジェクトは教育目的のみです。
違法行為に使用しないでください。
Apple はいつでもこの動作にパッチを適用する可能性があります。