bl_sbx

itunesstored & bookassetd Sandbox Escape

Este repositório contém uma prova de conceito demonstrando como bancos de dados downloads.28.sqlitedb e BLDatabaseManager.sqlite criados de forma maliciosa podem escapar da sandbox do itunesstored e do bookassetd no iOS. Ao abusar dos mecanismos de download, a PoC permite escrever arquivos arbitrários de propriedade do usuário mobile em locais restritos em /private/var/, incluindo arquivos de cache do MobileGestalt—possibilitando modificações no dispositivo, como falsificar o tipo de dispositivo.

Pontos-chave

• Compatível com iOS 26.2b1 e anteriores (testado no iPhone 12, iOS 26.0.1).
• Estágio 1 (itunesstored): Entrega um BLDatabaseManager.sqlite criado sob medida para um contêiner gravável.
• Estágio 2 (bookassetd): Baixa payloads EPUB controlados pelo atacante para caminhos de arquivo arbitrários.
• Os caminhos graváveis incluem:
  • /private/var/containers/Shared/SystemGroup/.../Library/Caches/
  • /private/var/mobile/Library/FairPlay/
  • /private/var/mobile/Media/
• Demonstra a modificação de com.apple.MobileGestalt.plist para validar a exploração bem-sucedida.

Resultado

O iOS não bloqueia tarefas de download criadas de forma maliciosa, permitindo gravações de arquivos não autorizadas, a menos que o caminho de destino exija propriedade do root (ou que o proprietário do arquivo não seja mobile).

Consulte o blogpost para obter mais informações

Aviso Legal

Este projeto é apenas para fins educacionais.
Não o utilize para atividades ilegais.
A Apple pode corrigir esse comportamento a qualquer momento.