Fornendo declared_length = 0x800, il driver copia circa 0x7E8 byte oltre la fine del buffer kernel dei messaggi ACM — leggendo nelle allocazioni heap kernel adiacenti. Queste regioni adiacenti contengono puntatori kernel (0xfffffff0xxxxxxxx) che possono essere usati per calcolare lo slide KASLR.

Cattura dell'handle ACM (DYLD_INTERPOSE)

L'accesso diretto a IOServiceOpen("AppleKeyStore") è bloccato dalla sandbox sulle app sideloaded. Tuttavia, il percorso di firma delle chiavi Secure Enclave di Security.framework chiama IOConnectCallMethod in-process con un handle di sessione ACM reale.

La PoC usa un hook __DATA,__interpose (che viene eseguito al caricamento di dyld, prima che __DATA_CONST diventi read-only — fishhook è bloccato su iOS 26 dalla protezione DATA_CONST):

1. Attiva il flag di cattura dell'interpose
2. SecKeyCreateRandomKey(kSecAttrTokenIDSecureEnclave) → SecKeyCreateSignature() → IOConnectCallMethod in-process viene attivato con un handle ACM reale
3. Cattura (conn, handle[16])
4. Replay con declared_length = 0x800 su 163 selettori AKS
5. Scansiona l'output per puntatori kernel 0xfffffff0xxxxxxxx → calcola lo slide KASLR

Comportamento della PoC

poc_aks_oob.m implementa l'intera catena di cattura dell'handle ACM e di probe OOB:

• Crea una chiave P-256 Secure Enclave (kSecAttrAccessibleAfterFirstUnlock, senza biometria)
• Firma un messaggio di 32 byte per attivare la chiamata IOKit AKS in-process
• Replay con declared_length = 0x800 su tutti i 163 selettori AKS
• Stampa qualsiasi puntatore kernel trovato come KPTR @+XXXX = 0xfffffff0YYYYYYYY
• Tenta di calcolare lo slide KASLR da un offset noto di un simbolo AKS

Se la firma della chiave SE viene instradata tramite XPC di secd invece che in-process, il probe di fallback usa un handle zero (conferma la raggiungibilità del percorso OOB; tutti i selettori falliranno la validazione ACM, ma il percorso VNOP è confermato).

Nota iOS 26: fishhook Bloccato

Su iOS 26, __DATA_CONST (che contiene la GOT) è mappato read-only prima che qualsiasi codice in-process venga eseguito. Le scritture runtime alla GOT (come usate da fishhook) attivano KERN_PROTECTION_FAILURE → SIGBUS. DYLD_INTERPOSE tramite __DATA,__interpose funziona perché dyld elabora la tabella interpose al momento del caricamento dell'immagine, prima che il kernel applichi la protezione __DATA_CONST.

Requisiti

• iOS 26.6 (23G71) o precedente
• Accesso Secure Enclave (kSecAttrTokenIDSecureEnclave) — disponibile per qualsiasi app sideloaded senza entitlement
• Nessuna necessità di sandbox escape: la firma delle chiavi SE tramite Security.framework può invocare la chiamata IOKit AKS in-process (dipende dal dispositivo e dalla build iOS). In alcune configurazioni la chiamata viene instradata tramite XPC di secd — in quel caso il fallback con handle zero conferma la raggiungibilità del percorso OOB ma non il completo bypass KASLR.

Build

Entitlement minimi (ent.plist):

Cronologia

Riferimenti

• Apple Security Advisory — iOS 26.6.1