在当今数字化时代，智能手机的安全性已经成为我们生活中不可或缺的一部分。苹果公司一直以其严格的安全机制著称，但最近一个名为CVE-2025-24200的漏洞却引发了广泛关注。接下来以一篇深度文章[1]，带你深入了解这个漏洞的细节，以及苹果是如何修复它的。

苹果公司近日发布了iOS18.3.1版本（构建号22D72），用于修复由CitizenLab报告、涉及辅助功能框架的漏洞。相关的漏洞公告可在此处[2]查阅。以下是直接从苹果官网摘录的概述：

在深入分析补丁之前，笔者先简要回顾USB限制模式的功能及其重要性。

# pre-patch
ipsw download ipsw --device iPhone14,4 --build 22D63

# post-patch
ipsw download ipsw --device iPhone14,4 --build 22D72

import binaryninja

binaryninja.disable_default_log()

def build_table(bv: binaryninja.BinaryView):
    """Builds a table of function names to their basic block count."""
    table = {}
    for f in bv.functions:
        if not f.name.startswith('sub_'):
            table[f.name] = [len(f.basic_blocks)]
    return table

def diff_tables(original, patched):
    """Compares two basic block tables and prints changes."""
    for fn in original.keys() & patched.keys():
        if original[fn] != patched[fn]:
            print(f'{fn}: {original[fn]} -> {patched[fn]}')

t1 = build_table(binaryninja.load("/path/to/original"))
t2 = build_table(binaryninja.load("/path/to/patched"))

diff_tables(t1, t2)

-[MCProfileServicer setParametersForSettingsByType:configurationUUID:toSystem:user:passcode:credentialSet:completion:]

diff --git a/original.m b/patched.m
index cd2b537..7fe1bd4 100644
--- a/original.m
+++ b/patched.m
@@ -8,6 +8,13 @@ BOOL has_ent = [self

if (has_some_entitlement == NO) {
    // Unchanged
} else {
+       NSDict *rb = [settingsByType objectForKeyedSubscript: @"RestrictedBool"];
+       BOOL is_device_locked [[MCDependencyManager sharedManager] isDeviceLocked];
+       BOOL restricted_mode_allowed = [
+               rb objectForKeyedSubscript: @"FeatureUSBRestrictedModeAllowed"
+       ]
+
+       if (restricted_mode_allowed == NO || is_device_locked == NO) {

               [[[MCProfileServiceServer sharedServer]]
                       setParametersForSettingsByType: type
                       sender: [self remoteProcessBundleID]
                       completion: completion
               ]
+
+       } else {
+               NSError *error = [
+                       MCErrorWithDomain: _MCSettingsErrorDomain
+                       code: 0x6d66
+                       descriptionArray: _MCErrorArray
+                       errorType: _MCErrorTypeFatal
+               ];
+
+               if (completion) {
+                       completion.completionHandler(completion, error);
+               }
+       }
 }

-[SCATScannerManager _setUSBRMPreferenceDisabled]

@implementation SCATScannerManager

- (void)handleUSBMFiDeviceConnected {
    AXSettings btm = [SCATBluetoothManager sharedInstance];

    bool did_read_rm_alert = [btm switchControlUserDidReadUSBRestrictedModeAlert];
    bool has_disabled_rm = [self userHasDisabledUSBRM];
    bool should_disallow_rm = [btm switchControlShouldDisallowUSBRestrictedMode];

    if (!did_read_rm_alert && !has_disabled_rm && should_disallow_rm) {
        [btm setSwitchControlShouldDisallowUSBRestrictedMode:NO];

        // Forwards a call to the AXSettings framework that is responsible
        // for showing the alert discussed earlier in the patch section

        // The -[SCATScannerManager _setUSBRMPreferenceDisabled] function that
        // disables USB restricted mode is passed as the callback handler for
        // this alert.
    }
}

@end

尽管上述推测逻辑可行，但我们目前缺乏硬件设备进行实际验证。需注意，USB限制模式并非防御物理外设攻击的唯一机制，实际漏洞利用可能更为复杂。