declared_length = 0x800 を指定することで、ドライバはカーネル ACM メッセージバッファの末尾を約 0x7E8 バイト超えてコピーし、隣接するカーネルヒープ割り当て領域を読み取ります。これらの隣接領域にはカーネルポインタ（0xfffffff0xxxxxxxx）が含まれており、KASLR スライドの計算に使用できます。

ACM ハンドル取得（DYLD_INTERPOSE）

サイドロードされたアプリでは、IOServiceOpen("AppleKeyStore") の直接呼び出しはサンドボックスによってブロックされます。しかし、Security.framework の Secure Enclave 鍵署名パスは、実際の ACM セッションハンドルを使用して プロセス内で IOConnectCallMethod を呼び出します。

PoC は __DATA,__interpose フック（dyld ロード時に実行され、__DATA_CONST が読み取り専用になる前 — fishhook は iOS 26 では DATA_CONST 保護によりブロックされます）を使用します:

1. interpose キャプチャフラグを有効化
2. SecKeyCreateRandomKey(kSecAttrTokenIDSecureEnclave) → SecKeyCreateSignature() → 実際の ACM ハンドルでプロセス内 IOConnectCallMethod が発火
3. (conn, handle[16]) をキャプチャ
4. 163 個の AKS セレクタ全体で declared_length = 0x800 をリプレイ
5. 出力をスキャンして 0xfffffff0xxxxxxxx カーネルポインタを検出 → KASLR スライドを計算

PoC の動作

poc_aks_oob.m は完全な ACM ハンドル取得と OOB プローブチェーンを実装しています:

• Secure Enclave P-256 鍵を作成（kSecAttrAccessibleAfterFirstUnlock、生体認証なし）
• 32 バイトのメッセージに署名してプロセス内 AKS IOKit 呼び出しをトリガー
• 163 個すべての AKS セレクタで declared_length = 0x800 をリプレイ
• KPTR @+XXXX = 0xfffffff0YYYYYYYY で見つかったカーネルポインタを出力
• 既知の AKS シンボルオフセットから KASLR スライドの計算を試行

SE 鍵署名がプロセス内ではなく secd XPC 経由でルーティングされる場合、フォールバックプローブはゼロハンドルを使用します（OOB パスの到達可能性を確認します。すべてのセレクタは ACM 検証に失敗しますが、VNOP パスは確認されます）。

iOS 26 に関する注意: fishhook のブロック

iOS 26 では、__DATA_CONST（GOT を含む）はプロセス内コードが実行される前に読み取り専用にマッピングされます。実行時の GOT 書き込み（fishhook が使用する方法）は KERN_PROTECTION_FAILURE → SIGBUS を引き起こします。__DATA,__interpose による DYLD_INTERPOSE は、dyld がイメージロード時に interpose テーブルを処理するため機能します。これはカーネルが __DATA_CONST 保護を適用する前です。

要件

• iOS 26.6 (23G71) 以前
• Secure Enclave アクセス（kSecAttrTokenIDSecureEnclave）— 権限不要のサイドロードアプリでも利用可能
• サンドボックス脱出は不要: Security.framework による SE 鍵署名は AKS IOKit 呼び出しを プロセス内で呼び出す場合があります（デバイスと iOS ビルドに依存）。一部の構成では呼び出しが secd XPC 経由でルーティングされます — その場合、ゼロハンドルのフォールバックは OOB パスの到達可能性を確認しますが、 完全な KASLR 無効化は確認できません。

ビルド

最小権限（ent.plist）:

タイムライン

参考情報

• Apple セキュリティアップデート — iOS 26.6.1