CVE-2026-65349 — كتابة خارج الحدود في getattrlist داخل vfs_attr_pack_internal

المكوّن: XNU VFS — vfs_attr_pack_internal (استدعاء النظام getattrlist)
المتأثر: iOS / iPadOS 26.6 (23G71) والإصدارات الأقدم
تم الإصلاح في: iOS / iPadOS 26.6.1 (23G83)
النوع: كتابة خارج حدود المخزن المؤقت للمتصل
التأثير: تلف في كومة النواة؛ من سياق النواة (بعد قراءة/كتابة النواة)، يتيح كتابة مؤشر موقّع بـ PAC إلى مخزن مؤقت يتحكم به المهاجم

الاعتمادات

اكتُشف بواسطة باحث مجهول
(وفقًا لنشرة أمان Apple — iOS 26.6.1)

السبب الجذري

تقوم vfs_attr_pack_internal بالتكرار عبر خريطة البت للسمات المطلوبة وتكتب كل سمة في مخزن المتصل المؤقت بشكل تسلسلي. وهي لا تتحقق مما إذا كان إزاحة الإخراج الجارية قد تجاوزت bufsize قبل كتابة الفتحة 51 (SETXATTR_SLOT).

بالنسبة لملف باسم مكوّن من 16 حرفًا، يكون إجمالي الإخراج الصالح للسمات هو 0x1a4 (420) بايت. تبدأ الفتحة 51 عند الإزاحة 0x198 (408 بايت). عندما يوفّر المتصل مخزنًا أصغر من 0x198 + 8، تكتب النواة 8 بايت بعد نهاية المخزن:

; vfs_attr_pack_internal (المسار المتأثر، 26.6 / 23G71)
; كتابة الفتحة 51 — لا يوجد فحص لحدود قبل التخزين
str  x_attr_data, [buf + 0x198]   ; خارج الحدود إذا كان bufsize < 0x198 + 8

خريطة بت السمات

أقنعة السمات الصالحة التي تم التحقق منها عبر فحص على الجهاز (getattrlist على اسم ملف مكوّن من 16 حرفًا، iOS 26.6):

مع هذه الأقنعة على اسم ملف مكوّن من 16 حرفًا، يكون إجمالي الإخراج = 0x1a4 بايت. يحدث الخروج عن الحدود عند الفتحة 51 (buf+0x198) كلما كان bufsize < 0x1a0.

ملاحظات الاستغلال على iOS 26

على iOS 26، تمنع عزل KHEAP_TEMP الكتابة خارج الحدود من إتلاف تخصيصات الكومة المجاورة بشكل مفيد مباشرةً من مساحة المستخدم. يُصنَّف الخطأ على أنه كومة النواة فقط في هذا البحث:

• من مساحة المستخدم: الكتابة خارج الحدود تصيب مكدس/كومة المستخدم الخاصة بالمُستدعي — يمكن ملاحظتها ولكنها غير قابلة للاستغلال لتصعيد الامتيازات دون بدائية إضافية.
• من سياق النواة (بعد بدائية كتابة النواة من CVE-2026-64788): كتابة مؤشر موقّع بـ PAC في مخزن نواة عبر إزاحة خارج الحدود، ثم تشغيل vfs_attr_pack_internal من موقع استدعاء مُتحكَم به.

في سلسلة كسر حماية iOS 26.6، يُستخدم هذا الخطأ في المرحلة النهائية لكتابة مؤشر مُزيّف بـ PACIA في تخصيص نواة مجاور لمخزن المُستدعي المؤقت.

سلوك إثبات المفهوم (PoC)

يوضح poc_getattrlist_oob.c حدود الخروج عن الحدود بثلاث استدعاءات:

ينشئ إثبات المفهوم اسم ملف مكوّنًا من 16 حرفًا (/var/root/aaaaaaaaaaaaaaaa) كهدف الاختبار، وينفّذ جميع استدعاءات getattrlist() الثلاثة، ويطبع رموز الإرجاع. سيُظهر سجل انهيار النواة (إذا تم تشغيله) خطأً عند buf+0x198.

المتطلبات

• iOS 26.6 (23G71) أو إصدار أقدم
• صلاحية كتابة إلى /var/root/ (لإنشاء ملف الاختبار المكوّن من 16 حرفًا؛ يمكن تعديل المسار إلى أي موقع قابل للكتابة)
• لا توجد امتيازات مطلوبة

البناء

# ملف C ثنائي مستقل — لا حاجة لأطر عمل
clang -arch arm64 -o poc poc/poc_getattrlist_oob.c

# للجهاز:
clang -arch arm64 -isysroot $(xcrun --sdk iphoneos --show-sdk-path) \
      -o poc poc/poc_getattrlist_oob.c
codesign -s "Apple Development" poc

الجدول الزمني

المراجع

• نشرة أمان Apple — iOS 26.6.1