Kemon

Un framework de código abierto basado en callbacks Pre y Post para la monitorización del kernel de macOS.

[ Noticias de última hora - 08/28/2019 ]
Notas de la versión de macOS Catalina 10.15 Beta 7
https://developer.apple.com/documentation/macos_release_notes/macos_catalina_10_15_beta_7_release_notes

Endpoint Security

• La API kauth ha sido eliminada. (50419013)

/* Después de probar, descubrí que estas interfaces Kauth no se han eliminado realmente, y Kemon sigue funcionando. Pero creo que esta nota de la versión significa que la puerta al kernel de macOS se está cerrando. (08/28/2019) */

¿Qué es Kemon?

Kemon es un framework de código abierto basado en callbacks Pre y Post [1] para la monitorización del kernel de macOS [2]. Con el poder de Kemon, podemos implementar fácilmente monitorización de comunicación XPC/IPC [3], filtrado de políticas de Control de Acceso Obligatorio (MAC), cortafuegos de tráfico de red y extensiones del kernel, etc. En general, desde la perspectiva de un atacante, este framework puede ayudar a lograr un Rootkit más potente. Desde la perspectiva de la defensa, Kemon puede ayudar a construir capacidades de monitorización más granulares.

También implementé varios fuzzers de kernel [4] [7] basados en este framework, lo que me ayudó a encontrar muchas vulnerabilidades del kernel, como:

1. GPU basada en Apple Silicon AGX, IOMobileFrameBuffer y Coprocesador de pantalla (DCP) [10]:
   CVE-2024-40854, CVE-2024-44197 [33], CVE-2024-44199 [34], CVE-2025-24106 [35], CVE-2025-24111 [38], CVE-2025-24257 [36], CVE-2025-24273 [37], CVE-2025-43326 [39] [40], etc.

2. GPU basada en AMD e Intel de Apple:
   CVE-2017-7155, CVE-2017-7163, CVE-2017-13883 [11], CVE-2018-4350, CVE-2018-4396, CVE-2018-4418 [12], CVE-2019-8807 [13], CVE-2022-22631, CVE-2022-22661, CVE-2022-46706 [23], etc.

3. Wi-Fi IO80211FamilyV1/V2 [5] [9]: CVE-2020-9832, CVE-2020-9833, CVE-2020-9834 [15], CVE-2020-9899 [16], CVE-2020-10013 [17] [18] [19], CVE-2022-26761 [24], CVE-2022-26762 [25], CVE-2022-32837, CVE-2022-32847, CVE-2022-32860 [26] [27] [28], CVE-2022-32925, CVE-2022-46709 [29] [30], CVE-2023-38610 [31] [32], CVE-2025-43373 [41], CVE-2026-20621 [42] [43], etc.