En fournissant declared_length = 0x800, le pilote copie environ 0x7E8 octets au-delà de la fin du tampon de message ACM du noyau — lisant dans les allocations de tas adjacentes du noyau. Ces régions adjacentes contiennent des pointeurs noyau (0xfffffff0xxxxxxxx) qui peuvent être utilisés pour calculer le décalage KASLR.

Capture du handle ACM (DYLD_INTERPOSE)

L'appel direct IOServiceOpen("AppleKeyStore") est bloqué par le sandbox sur les applications sideloadées. Cependant, le chemin de signature de clé Secure Enclave de Security.framework appelle IOConnectCallMethod dans le processus avec un véritable handle de session ACM.

Le PoC utilise un hook __DATA,__interpose (qui s'exécute au moment du chargement de dyld, avant que __DATA_CONST ne soit rendu en lecture seule — fishhook est bloqué sur iOS 26 par la protection DATA_CONST) :

1. Armer le drapeau de capture interpose
2. SecKeyCreateRandomKey(kSecAttrTokenIDSecureEnclave) → SecKeyCreateSignature() → IOConnectCallMethod dans le processus se déclenche avec un véritable handle ACM
3. Capturer (conn, handle[16])
4. Rejouer avec declared_length = 0x800 sur les 163 sélecteurs AKS
5. Analyser la sortie pour trouver les pointeurs noyau 0xfffffff0xxxxxxxx → calculer le décalage KASLR

Comportement du PoC

poc_aks_oob.m implémente la chaîne complète de capture du handle ACM et de sonde OOB :

• Crée une clé P-256 Secure Enclave (kSecAttrAccessibleAfterFirstUnlock, sans biométrie)
• Signe un message de 32 octets pour déclencher l'appel AKS IOKit dans le processus
• Rejoue avec declared_length = 0x800 sur les 163 sélecteurs AKS
• Affiche tout pointeur noyau trouvé à KPTR @+XXXX = 0xfffffff0YYYYYYYY
• Tente de calculer le décalage KASLR à partir d'un décalage de symbole AKS connu

Si la signature de clé SE est routée via XPC secd au lieu du processus, la sonde de secours utilise un handle nul (confirme l'accessibilité du chemin OOB ; tous les sélecteurs échoueront à la validation ACM, mais le chemin VNOP est confirmé).

Note iOS 26 : fishhook bloqué

Sur iOS 26, __DATA_CONST (qui contient la GOT) est mappé en lecture seule avant l'exécution de tout code dans le processus. Les écritures GOT à l'exécution (comme utilisées par fishhook) déclenchent KERN_PROTECTION_FAILURE → SIGBUS. DYLD_INTERPOSE via __DATA,__interpose fonctionne car dyld traite la table d'interposition au moment du chargement de l'image, avant que le noyau n'applique la protection __DATA_CONST.

Prérequis

• iOS 26.6 (23G71) ou antérieur
• Accès Secure Enclave (kSecAttrTokenIDSecureEnclave) — disponible pour toute application sideloadée sans entitlements
• Aucune évasion de sandbox requise : la signature de clé SE via Security.framework peut invoquer l'appel AKS IOKit dans le processus (dépend de l'appareil et de la version iOS). Sur certaines configurations, l'appel est routé via XPC secd à la place — dans ce cas, le repli avec handle nul confirme l'accessibilité du chemin OOB mais pas le contournement complet du KASLR.

Compilation

Entitlements minimaux (ent.plist) :

Chronologie

Références

• Avis de sécurité Apple — iOS 26.6.1