Kemon

Un framework open source basé sur des callbacks Pré et Post pour la surveillance du noyau macOS.

[ Dernières nouvelles - 08/28/2019 ]
macOS Catalina 10.15 Beta 7 Notes de version
https://developer.apple.com/documentation/macos_release_notes/macos_catalina_10_15_beta_7_release_notes

Sécurité des terminaux

• L'API kauth a été supprimée. (50419013)

/* Après des tests, j'ai constaté que ces interfaces Kauth ne sont pas vraiment supprimées, et Kemon fonctionne toujours. Mais je pense que cette note de version signifie que la porte du noyau macOS se ferme. (08/28/2019) */

Qu'est-ce que Kemon ?

Kemon est un framework open source basé sur des callbacks Pré et Post [1] pour la surveillance du noyau macOS [2]. Grâce à la puissance de Kemon, nous pouvons facilement mettre en œuvre la surveillance des communications XPC/IPC [3], le filtrage des politiques de contrôle d'accès obligatoire (MAC), le trafic réseau et le pare-feu des extensions du noyau, etc. En général, du point de vue d'un attaquant, ce framework peut aider à réaliser un rootkit plus puissant. Du point de vue de la défense, Kemon peut aider à construire des capacités de surveillance plus granulaires.

J'ai également implémenté plusieurs fuzzers du noyau [4] [7] basés sur ce framework, ce qui m'a aidé à trouver de nombreuses vulnérabilités du noyau, comme :

1. GPU basé sur Apple Silicon AGX, IOMobileFrameBuffer et coprocesseur d'affichage (DCP) [10] :
   CVE-2024-40854, CVE-2024-44197 [33], CVE-2024-44199 [34], CVE-2025-24106 [35], CVE-2025-24111 [38], CVE-2025-24257 [36], CVE-2025-24273 [37], CVE-2025-43326 [39] [40], etc.

2. GPU basé sur AMD et Intel d'Apple :
   CVE-2017-7155, CVE-2017-7163, CVE-2017-13883 [11], CVE-2018-4350, CVE-2018-4396, CVE-2018-4418 [12], CVE-2019-8807 [13], CVE-2022-22631, CVE-2022-22661, CVE-2022-46706 [23], etc.

3. Wi-Fi IO80211FamilyV1/V2 [5] [9] : CVE-2020-9832, CVE-2020-9833, CVE-2020-9834 [15], CVE-2020-9899 [16], CVE-2020-10013 [17] [18] [19], CVE-2022-26761 [24], CVE-2022-26762 [25], CVE-2022-32837, CVE-2022-32847, CVE-2022-32860 [26] [27] [28], CVE-2022-32925, CVE-2022-46709 [29] [30], CVE-2023-38610 [31] [32], CVE-2025-43373 [41], CVE-2026-20621 [42] [43], etc.