Glass Cage: Cadeia de Exploração PNG de Zero-Clique para iOS 18.2.1

CVE-2025-24201 – Execução Remota de Código no WebKit
CVE-2025-24085 – Escalação de Privilégio no Core Media

Reportado à Apple: 9 de janeiro de 2025
Corrigido: Fevereiro–Março de 2025
Testado em: iPhone 14 Pro Max (iOS 18.2.1)
Pontuação Base CVSS: 9.8 (Crítico)

---

Resumo

Glass Cage é uma cadeia de exploração PNG de zero-clique crítica, descoberta em estado selvagem, visando iOS 18.2.1. O ataque foi observado ativamente em um dispositivo comprometido e confirmado como usado contra alvos reais antes da correção pelo fornecedor.

Uma imagem PNG maliciosa enviada via iMessage inicia a cadeia ao acionar a análise automática no MessagesBlastDoorService. A imagem explora uma vulnerabilidade de corrupção de heap no WebKit (CVE-2025-24201), seguida por uma fuga da sandbox e uma escalação de privilégio a nível de kernel no Core Media (CVE-2025-24085).

A cadeia, em última análise, fornece aos atacantes acesso root, controle persistente, exfiltração do chaveiro e até mesmo a capacidade de tornar dispositivos inoperáveis (bricking) de forma irreversível via manipulação do IORegistry. Nenhuma interação do usuário é necessária.

---

Cadeia de Exploração

1. Criação de PNG Malicioso

   • Payloads HEIF embutidos com campos EXIF malformados
   • Desencadeia corrupção de heap no ATXEncoder

2. Gatilho Silencioso via iMessage

   • Arquivo processado automaticamente pelo MessagesBlastDoorService
   • RCE obtida através do WebKit (CVE-2025-24201)

3. Fuga da Sandbox

   • WebKit contorna o isolamento de recursos para acessar ativos privados

4. Escalação de Privilégio

   • Falha no Core Media (CVE-2025-24085) permite acesso ao kernel
   • Explora mediaplaybackd, codecctl e IOHIDInterface

5. Persistência e Bricking

   • Injeta daemons maliciosos via launchd
   • Sequestra a rede através do wifid
   • Torna o dispositivo inoperável via modificação do IORegistry

---

Indicadores de Compromisso

• Consultas de recursos do WebKit para ativos internos
• Atribuição de IP malicioso: 172.16.101.176
• Configurações de proxy modificadas no wifid
• Acesso anormal ao CloudKeychainProxy
• Valor do IORegistry: IOAccessoryPowerSourceItemBrickLimit = 0

---

Linha do Tempo

---

Divulgação

Esta cadeia de exploração foi descoberta sendo usada em estado selvagem e divulgada de forma responsável à Apple. Patches foram lançados desde então. No momento da descoberta, a exploração ativa foi confirmada.

---

Certificação CNVD

Esta pesquisa foi verificada e certificada de forma independente pelo China National Vulnerability Database (CNVD). Estes certificados oficiais confirmam o status de alto risco de ambas as vulnerabilidades usadas na cadeia de exploração Glass Cage:

• CNVD-2025-07885 – Use-After-Free nos Serviços de Mídia da Apple

• CNVD-2025-06744 – Estouro de Buffer no Core Media do iOS/iPadOS

Pesquisador: Joseph Goydish II
Tipo de Submissão: Submissão de Pesquisador Individual
Autoridade de Certificação: CNCERT / CNVD

---

Mapeamento MITRE ATT&CK

---

Aviso Legal

Este repositório é fornecido apenas para fins de pesquisa e educacionais.
As técnicas descritas não devem ser usadas contra sistemas sem a devida autorização.
O autor não assume nenhuma responsabilidade por uso indevido ou danos resultantes das informações aqui contidas.

---

Referências

• CVE-2025-24085 – Escalação de Privilégio no Core Media
• CVE-2025-24201 – Execução Remota de Código no WebKit
• CNVD-2025-06744 – Estouro de Buffer no iOS/iPadOS
• CNVD-2025-07885 – Use-After-Free nos Serviços de Mídia da Apple

---