bsd/kern/sys_coalition.c 内の sysctl_coalition_get_pid_list 関数は、coalition_get_pid_list 関数を使用してコアリション内の PID のリストを収集します。この関数は、成功した場合は PID の数を返し、失敗した場合は負の errno を返します。しかし、sysctl_coalition_get_pid_list 関数はエラー条件を適切にチェックしておらず、負の数の PID を SYSCTL_OUT 経由でユーザ空間に送信しようとします。length パラメータは size_t であるため、結果として非常に大きな値を持つ copyout の呼び出しが発生します。
当初、これはカーネル情報漏洩になると思いました。カーネルはスタックからユーザ空間バッファへのコピーを試みますが、最終的にマッピングされていないページに到達してコピーを中止するからです。しかし、SYSCTL_OUT は部分的な値をコピーアウトせず、macOS ではアドレスとサイズの加算がラップアラウンドする場合、copyio は早期に中断します。そのため、macOS ではこのバグは悪用できません。
しかし、iOS（少なくとも iOS 10.1.1）では、アドレスとサイズの加算がラップアラウンドすると copyio 関数がパニックを引き起こします。つまり、このバグはサービス拒否 (DoS) のために使用できる可能性があります。
悪用には root 権限が必要です。
この問題を Apple に報告したのは 2017 年 9 月 21 日です。この問題には CVE-2017-13833 CVE-2017-7173 が割り当てられました。Apple は macOS 10.13.2 および iOS 11.2 でこの問題を修正しました。
(Apple はその後、CVE-2017-13833 が以前に別の問題に割り当てられていたことを発見し、この問題に CVE-2017-7173 を再割り当てしました。)
sysctl_coalition_get_pid_list-dos のコードはパブリックドメインとして公開されています。ご厚意として、このコードを参照または使用する場合は、私への帰属表示をお願いいたします。
