bytev0rtex/cve-2026-65349Proof-of-concept per una scrittura fuori dai limiti in `vfs_attr_pack_internal` (`getattrlist`) di XNU su iOS 26.6, che dimostra la corruzione dell'heap del kernel e note di sfruttamento per la falsificazione dei puntatori PAC.
getattrlist in vfs_attr_pack_internalComponente: XNU VFS — vfs_attr_pack_internal (syscall getattrlist)
Interessati: iOS / iPadOS 26.6 (23G71) e versioni precedenti
Corretto in: iOS / iPadOS 26.6.1 (23G83)
Tipo: Scrittura fuori dai limiti nel buffer del chiamante
Impatto: Corruzione dell'heap del kernel; dal contesto del kernel (dopo r/w del kernel), consente di scrivere un puntatore firmato PAC in un buffer controllato dall'attaccante
Scoperto da un ricercatore anonimo
(secondo Apple Security Advisory — iOS 26.6.1)
vfs_attr_pack_internal itera sulla bitmap degli attributi richiesti e scrive ogni attributo in sequenza nel buffer del chiamante. verifica se l'offset di output corrente abbia superato prima di scrivere lo slot 51 ().
bufsizeSETXATTR_SLOTPer un file con un nome di 16 caratteri, l'output completo degli attributi validi è di 0x1a4 (420) byte. Lo slot 51 inizia all'offset 0x198 (408 byte). Quando il chiamante fornisce un buffer più piccolo di 0x198 + 8, il kernel scrive 8 byte oltre la fine del buffer:
; vfs_attr_pack_internal (percorso interessato, 26.6 / 23G71)
; scrittura slot 51 — nessun controllo dei limiti prima dello store
str x_attr_data, [buf + 0x198] ; OOB se bufsize < 0x198 + 8
Le maschere degli attributi validi verificate tramite sonda sul dispositivo (getattrlist su un nome file di 16 caratteri, iOS 26.6):
| Campo | Maschera |
|---|---|
commonattr | 0xffe7ffff (i bit 19, 20 non sono validi su questo kernel) |
fileattr | 0x0000363f |
forkattr | 0xffffe003 |
Con queste maschere su un nome file di 16 caratteri, l'output totale = 0x1a4 byte. L'OOB si verifica allo slot 51 (buf+0x198) ogni volta che bufsize < 0x1a0.
Su iOS 26, l'isolamento di KHEAP_TEMP impedisce alla scrittura OOB di corrompere direttamente le allocazioni heap adiacenti in modo utile dallo spazio utente. Il bug è classificato come solo heap del kernel in questa ricerca:
vfs_attr_pack_internal da un call site controllato.Nella catena di jailbreak di iOS 26.6, questo bug viene utilizzato nella fase finale per scrivere un puntatore forgiato PACIA in un'allocazione del kernel adiacente al buffer del chiamante.
poc_getattrlist_oob.c dimostra il confine OOB con tre chiamate:
| Chiamata | Dimensione del buffer | Risultato atteso |
|---|---|---|
| 1 | 64 byte | Il kernel scrive 0x1a4 byte → OOB a buf+0x198 (344 B oltre la fine) |
| 2 | 0x198 byte | La scrittura OOB inizia esattamente alla fine del buffer |
| 3 | 0x1a4 byte | Dimensione valida esatta → successo pulito |
Il PoC crea un nome file di 16 caratteri (/var/root/aaaaaaaaaaaaaaaa) come target di test, esegue tutte e tre le chiamate getattrlist() e stampa i codici di ritorno. Un log di panic del kernel (se attivato) mostrerà un fault a buf+0x198.
/var/root/ (per creare il file di test di 16 caratteri; il percorso può essere modificato in qualsiasi posizione scrivibile)# Binario C standalone — nessun framework richiesto
clang -arch arm64 -o poc poc/poc_getattrlist_oob.c
# Per l'esecuzione su dispositivo:
clang -arch arm64 -isysroot $(xcrun --sdk iphoneos --show-sdk-path) \
-o poc poc/poc_getattrlist_oob.c
codesign -s "Apple Development" poc
| Data | Evento |
|---|---|
| 2026-08-17 | iOS 26.6.1 rilasciato con la correzione |
| 2026-08-17 | Crediti Apple pubblicati nell'advisory di sicurezza |