PoC Conceitual CVE-2024-44258: Vulnerabilidade de Symlink no iOS

Requisito: Python 3.7+ • Licença: MIT

⚠️ Aviso: Este repositório contém uma prova de conceito (PoC) desenvolvida para fins exclusivamente educacionais e de pesquisa. Não é um exploit totalmente funcional. O uso em dispositivos sem a devida autorização é proibido.

Conteúdo

1. Visão Geral

2. Detalhes da Vulnerabilidade

3. Escopo e Limitações

4. Características do PoC

5. Requisitos

6. Guia de Implementação

   • Clonagem do Repositório
   • Configuração Crítica
   • Execução
   • Validação Teórica

7. Exploit Real: Principais Desafios

8. Termos de Uso e Isenção de Responsabilidade

9. Licença

10. Reconhecimentos

Visão Geral

Esta PoC ilustra de forma conceitual CVE-2024-44258, uma vulnerabilidade de resolução de symlinks durante a restauração de backups no iOS. O objetivo é demonstrar a configuração mínima necessária para explorar a falha, sem oferecer um exploit completo.

Detalhes da Vulnerabilidade

• CVE ID: CVE-2024-44258
• CWE: CWE-59 (Improper Link Resolution Before File Access)
• Componentes afetados: framework ManagedConfiguration e o daemon profiled.
• Resumo: O processo de restauração de backups não verifica se um caminho é um symlink, o que permite escrever arquivos em locais arbitrários.
• Impacto: Elevação de privilégios, modificação de arquivos críticos, acesso não autorizado.
• Estado (maio de 2025): Corrigido no iOS 17.7.1, iOS 18.1, iPadOS 17.7.1, iPadOS 18.1, visionOS 2.1, tvOS 18.1 e versões posteriores.
• Data do patch: outubro–novembro de 2024
• Investigadores: Hichem Maloufi, Christian Mina, Ismail Amzdak

Escopo e Limitações

• Objetivo: Compreender a mecânica interna da vulnerabilidade.
• Não implementa: Modificação do arquivo binário Manifest.mbdb, etapa crítica para um exploit real.
• Resultado: Simulação da estrutura de backup e listagem de operações teóricas.

Características do PoC

1. Verificação de dependências: Verifica a disponibilidade do libimobiledevice.

2. Detecção de dispositivo: Aguarda conexão de um iPhone e identifica seu UDID.

3. Geração de backup simulado:

   • Estrutura em CVE-2024-44258_PoC_Backup
   • Insere um arquivo payload (.plist) em HomeDomain/Library/ConfigurationProfiles/
   • Cria diretórios para SysSharedContainerDomain-systemgroup.com.apple.configurationprofiles
   • Marca o symlink em um arquivo placeholder (Library -> SYMLINK_TARGET_ON_DEVICE)
   • Exporta Manifest_OPERATIONS_SIMULATED.txt com etapas conceituais

4. Tentativa de restauração: Utiliza idevicebackup2 para aplicar o backup ao dispositivo.

Requisitos

• Sistema anfitrião: macOS ou Linux
• Python: ≥ 3.7
• Libs: libimobiledevice (idevicelist, idevicebackup2 disponíveis no PATH)

Guia de Implementação

Clonagem do Repositório

git clone https://github.com/missaels235/POC-CVE-2024-44258-Py.git
cd POC-CVE-2024-44258-Py

Configuração Crítica

No poc_cve_2024_44258.py, ajuste:

• SYMLINK_TARGET_ON_DEVICE: Caminho absoluto no iOS onde o link será criado e o payload será gravado.

  • Deve ser um caminho com permissões de gravação.

  • Exemplos seguros (sandbox):

    root@kitploit:~

    /private/var/mobile/Containers/Data/Application/<APP_UUID>/tmp/ExploitDir
    /private/var/mobile/Library/Caches/ExploitCache
    

⚠️ Precaução: Um caminho inadequado pode invalidar a PoC ou, em um exploit real, afetar a integridade do sistema.

Execução

python3 poc_cve_2024_44258.py

1. Verifica as dependências.
2. Conecta o iPhone.
3. Gera o backup simulado.
4. Solicita confirmação antes de restaurar.

Validação Teórica

Se o processo de restauração for concluído:

1. Acesso ao dispositivo (jailbreak + SSH ou Filza).
2. Verificar em SYMLINK_TARGET_ON_DEVICE o arquivo PoC_File_CVE-2024-44258.plist.
3. Confirmar o conteúdo do payload.

Nota: Sem modificação do Manifest.mbdb, a validação é meramente teórica.

Exploit Real: Principais Desafios

1. Análise do Manifest.mbdb: Formato binário proprietário.

2. Ferramentas de edição: Desenvolvimento em C ou similares.

3. Construção de backup malicioso:

   • Incorporação do payload .plist.
   • Definição de symlinks no Manifest.mbdb.

4. Restauração automatizada: O sistema cria symlinks e grava no caminho de destino.

Termos de Uso e Isenção de Responsabilidade

• Uso apenas acadêmico e forense.
• Sem garantias: Código “como está”.
• Alto risco: Perda de dados ou brick do dispositivo.
• Conformidade legal: Não promover atividades ilícitas.
• Responsabilidade total do usuário.

Licença

Distribuído sob a MIT License. Consulte o arquivo LICENSE.

Reconhecimentos

• Hichem Maloufi, Christian Mina, Ismail Amzdak — Divulgação da vulnerabilidade.
• Comunidade libimobiledevice — Ferramentas essenciais.
• Autor: Misael S. (@missaels235)