bl_sbx

itunesstored & bookassetd 샌드박스 탈출

본 저장소에는 악의적으로 조작된 downloads.28.sqlitedb 및 BLDatabaseManager.sqlite 데이터베이스가 iOS에서 itunesstored와 bookassetd의 샌드박스를 탈출할 수 있음을 입증하는 개념 증명(PoC)이 포함되어 있습니다. 이들의 다운로드 메커니즘을 악용하여, POC는 MobileGestalt 캐시 파일을 포함한 /private/var/의 제한된 위치에 mobile 소유의 임의 파일을 쓰는 것을 가능하게 하며, 기기 유형 스푸핑과 같은 기기 수정을 허용합니다.

핵심 사항

• iOS 26.2b1 및 이하 버전과 호환 (iPhone 12, iOS 26.0.1에서 테스트됨)
• 1단계 (itunesstored): 쓰기 가능한 컨테이너에 조작된 BLDatabaseManager.sqlite를 전달합니다.
• 2단계 (bookassetd): 공격자가 제어하는 EPUB 페이로드를 임의의 파일 경로로 다운로드합니다.
• 쓰기 가능한 경로는 다음과 같습니다:
  • /private/var/containers/Shared/SystemGroup/.../Library/Caches/
  • /private/var/mobile/Library/FairPlay/
  • /private/var/mobile/Media/
• com.apple.MobileGestalt.plist 수정을 시연하여 성공적인 악용을 검증합니다.

결과

iOS는 조작된 다운로드 작업을 차단하지 않으므로, 대상 경로가 root 소유권(또는 파일 소유자가 mobile이 아닌 경우)을 요구하지 않는 한 무단 파일 쓰기가 허용됩니다.

자세한 내용은 블로그 게시물을 확인하세요

면책 조항

이 프로젝트는 교육 목적으로만 제공됩니다.
불법 활동에 사용하지 마십시오.
Apple은 언제든지 이 동작을 패치할 수 있습니다.