Glass Cage: Cadeia de Exploração PNG Zero-Clique para iOS 18.2.1

• CVE-2025-43300: Escrita Fora dos Limites no ImageIO
• CVE-2025-24201: Execução Remota de Código no WebKit
• CVE-2025-24085: Elevação de Privilégio no Core Media

Corrigido: Janeiro–Março 2025
Testado em: iPhone 14 Pro Max (iOS 18.2.1)

Análise do VirusTotal (Hash Verificada)

---

Resumo

Glass Cage é uma cadeia de exploração PNG crítica, de zero-clique, descoberta em circulação visando iOS 18.2.1. O ataque foi ativamente observado em um dispositivo comprometido e confirmado como usado contra alvos reais antes da correção pelo fornecedor.

Uma imagem PNG maliciosa enviada via iMessage inicia a cadeia ao acionar a análise automática no MessagesBlastDoorService (CVE-2025-43300). A imagem explora uma vulnerabilidade de corrupção de heap no WebKit (CVE-2025-24201), seguida por uma fuga da sandbox e uma elevação de privilégio a nível de kernel no Core Media (CVE-2025-24085).

A cadeia, em última análise, fornece aos atacantes acesso root, controle persistente, exfiltração do chaveiro e até mesmo a capacidade de danificar irreversivelmente dispositivos através da manipulação do IORegistry. Nenhuma interação do usuário é necessária.

Evidência de Log:

https://ia600508.us.archive.org/8/items/cve-2025-24085-24201/cve%202025-24085%3B%2024201.mov

---

Cadeia de Exploração

1. Criação de PNG Malicioso

   • Payloads HEIF incorporados com campos EXIF malformados
   • Desencadeia corrupção de heap no ATXEncoder (CVE-2025-43300)

2. Acionamento Silencioso via iMessage

   • Arquivo processado automaticamente pelo MessagesBlastDoorService
   • RCE alcançada através do WebKit (CVE-2025-24201)

3. Fuga da Sandbox

   • WebKit contorna isolamento de recursos para acessar ativos privados

4. Elevação de Privilégio

   • Falha no Core Media permite acesso ao kernel
   • Explora mediaplaybackd, codecctl e IOHIDInterface (CVE-2025-24085)

5. Persistência e Bloqueio (Bricking)

   • Injeta daemons maliciosos via launchd
   • Sequestra rede através do wifid
   • Bloqueia dispositivo via modificação do IORegistry

---

Indicadores de Comprometimento

• Consultas de recursos do WebKit para ativos internos
• Atribuição de IP malicioso: 172.16.101.176
• Configurações de proxy modificadas no wifid
• Acesso anormal ao CloudKeychainProxy
• Valor do IORegistry: IOAccessoryPowerSourceItemBrickLimit = 0

---

Linha do Tempo

---

Divulgação

Esta cadeia de exploração foi descoberta sendo usada em circulação e divulgada de forma responsável à Apple. Correções foram lançadas desde então. No momento da descoberta, a exploração ativa foi confirmada.

---

Certificação CNVD

Esta pesquisa foi independentemente verificada e certificada pelo China National Vulnerability Database (CNVD). Estes certificados oficiais confirmam o status de alto risco de ambas as vulnerabilidades usadas na cadeia de exploração Glass Cage:

• CNVD-2025-07885 – Use-After-Free nos Serviços de Mídia da Apple

• CNVD-2025-06744 – Buffer Overflow no Core Media do Apple iOS/iPadOS

Pesquisador: Joseph Goydish II Tipo de Submissão: Submissão de Pesquisador Pessoal
Autoridade Certificadora: CNCERT / CNVD

---

Por Que Isso Importa

O iMessage cria uma miniatura e um alerta de texto recebido assim que uma mensagem é entregue, e essa miniatura é analisada automaticamente. Se essa análise puder ser armada, a mera entrega (miniatura + alerta) é suficiente para um comprometimento instantâneo e silencioso — nenhuma ação do usuário, nenhum aviso.

---

Referências

• CVE-2025-24085 – Elevação de Privilégio no Core Media
• CVE-2025-24201 – Execução Remota de Código no WebKit
• CNVD-2025-06744 – Buffer Overflow no iOS/iPadOS
• CNVD-2025-07885 – Use-After-Free nos Serviços de Mídia da Apple

---