macOS-Kernel-Exploit

HAFTUNGSAUSSCHLUSS

Sie müssen den KASLR-Slide kennen, um den Exploit zu verwenden. Außerdem muss SMAP deaktiviert sein, was bedeutet, dass er auf Macs nach 2015 nicht ausnutzbar ist. Diese Einschränkungen machen den Exploit für die Ausnutzung in freier Wildbahn praktisch unbrauchbar, aber dennoch hilfreich für Sicherheitsforscher in einer kontrollierten Laborumgebung.

Dieser Exploit ist ausschließlich für Sicherheitsforschungszwecke bestimmt.

Allgemein

macOS-Kernel-Exploit für CVE-2019-8781 (derzeit ein 0day. Ich werde die CVE# hinzufügen, sobald sie veröffentlicht ist ;) ).

Danke an @LinusHenze für diesen coolen Bug und seine Unterstützung ;P.

Writeup

Kommt wahrscheinlich bald. Wenn Sie versuchen möchten, es selbst auszunutzen, finden Sie hier einige Einstiegspunkte:

• VM: Laden Sie das macOS-Installationsprogramm aus dem App Store herunter und ziehen Sie die .app-Datei in das NEUE VM-Fenster von VMWare.
• Kernel-Debugging-Setup: http://ddeville.me/2015/08/using-the-vmware-fusion-gdb-stub-for-kernel-debugging-with-lldb
• Werfen Sie einen Blick auf die Funktion _kernel_trap

Build

Ich empfehle, die Bootargs zu setzen auf: debug=0x44 kcsuffix=development -v

⚠️ Hinweis: SMAP muss auf Macs nach 2015 deaktiviert werden (-pmap_smap_disable)

Sie benötigen XCODE <= 9.4.1, um den Exploit zu bauen. (Er muss 32-Bit sein) Das Herunterladen der Xcode 9.4.1 Commandline Tools sollte ausreichen ;) Download: https://developer.apple.com/download/more/

make

Ausführung

./exploit <KASLR slide>

Getestet auf macOS Mojave: Darwin Kernel-Mac.local 18.7.0 Darwin Kernel Version 18.7.0: Thu Jun 20 18:42:21 PDT 2019; root:xnu-4903.270.47~4/DEVELOPMENT_X86_64 x86_64

Demo: