(Оригинальная сеть форка осталась)

Glass Cage: Эксплойтная цепочка PNG с нулевым кликом для iOS 18.2.1

CVE-2025-24201 – Удаленное выполнение кода WebKit
CVE-2025-24085 – Повышение привилегий Core Media

Сообщено Apple: 9 января 2025 г.
Исправлено: февраль–март 2025 г.
Протестировано на: iPhone 14 Pro Max (iOS 18.2.1)
Базовая оценка CVSS: 9.8 (Критическая)

---

Краткий обзор

Glass Cage — это критическая цепочка эксплойтов на основе PNG с нулевым кликом, обнаруженная в реальных условиях, нацеленная на iOS 18.2.1. Атака была активно замечена на скомпрометированном устройстве и подтверждена как используемая против реальных целей до выпуска исправлений вендором.

Вредоносное PNG-изображение, отправленное через iMessage, запускает цепочку, вызывая автоматический парсинг в MessagesBlastDoorService. Изображение использует уязвимость повреждения кучи в WebKit (CVE-2025-24201), за которой следует выход из песочницы и повышение привилегий на уровне ядра в Core Media (CVE-2025-24085).

Цепочка в конечном итоге предоставляет злоумышленникам доступ уровня root, постоянный контроль, эксфильтрацию связки ключей и даже возможность необратимо заблокировать устройства («окирпичить») через манипуляции с IORegistry. Взаимодействие с пользователем не требуется.

---

Цепочка эксплойтов

1. Создание вредоносного PNG

   • Встроенные полезные нагрузки HEIF с некорректными полями EXIF
   • Вызывает повреждение кучи в ATXEncoder

2. Молчаливый запуск через iMessage

   • Файл автоматически обрабатывается MessagesBlastDoorService
   • Удаленное выполнение кода достигается через WebKit (CVE-2025-24201)

3. Выход из песочницы

   • WebKit обходит изоляцию ресурсов для доступа к частным активам

4. Повышение привилегий

   • Уязвимость Core Media (CVE-2025-24085) обеспечивает доступ к ядру
   • Эксплуатирует mediaplaybackd, codecctl и IOHIDInterface

5. Постоянство и «окирпичивание»

   • Внедряет мошеннические демоны через launchd
   • Перехватывает сеть через wifid
   • Блокирует устройство через модификацию IORegistry

---

Индикаторы компрометации

• Поиск внутренних ресурсов WebKit
• Мошенническое назначение IP: 172.16.101.176
• Изменённые настройки прокси в wifid
• Аномальный доступ к CloudKeychainProxy
• Значение IORegistry: IOAccessoryPowerSourceItemBrickLimit = 0

---

Хронология

---

Раскрытие

Эта цепочка эксплойтов была обнаружена при использовании в реальных условиях и ответственно раскрыта компании Apple. С тех пор были выпущены исправления. На момент обнаружения активная эксплуатация была подтверждена.

---

Сертификация CNVD

Данное исследование было независимо проверено и сертифицировано Национальной базой данных уязвимостей Китая (CNVD). Эти официальные сертификаты подтверждают статус высокого риска обеих уязвимостей, использованных в цепочке эксплойтов Glass Cage:

• CNVD-2025-07885 – Использование после освобождения в сервисах Apple Media

• CNVD-2025-06744 – Переполнение буфера в Apple iOS/iPadOS Core Media

Исследователь: Joseph Goydish II
Тип представления: Представление личного исследователя
Сертифицирующий орган: CNCERT / CNVD

---

Соответствие MITRE ATT&CK

---

Правовое уведомление

Этот репозиторий предоставлен только для исследовательских и образовательных целей.
Описанные техники не должны использоваться против систем без соответствующего разрешения.
Автор не несёт ответственности за неправомерное использование или ущерб, возникший в результате использования информации, содержащейся здесь.

---

Ссылки

• CVE-2025-24085 – Повышение привилегий Core Media
• CVE-2025-24201 – Удаленное выполнение кода WebKit
• CNVD-2025-06744 – Переполнение буфера в iOS/iPadOS
• CNVD-2025-07885 – Использование после освобождения в сервисах Apple Media

---