概念実証

この概念実証は、影響を受ける Mac をカーネルパニックに陥らせ、再起動させることが想定されています。 使い捨てのテストシステムでのみ使用してください。証拠採取には、macOS Tahoe 26.3 (25D125) を実行する Apple シリコンを使用しました。Apple は CVE-2026-43682 を Tahoe 26.6、Sequoia 15.7.8、および Sonoma 14.8.8 で修正しました。

この PoC はディスクイメージジェネレーターであり、権限昇格エクスプロイトではありません。これは以下を行います:

• 属性 B-tree を持つ小さな HFS+ ボリュームを作成します;
• Apple シリコン上で現在のブートの _COMM_PAGE_ASB_TARGET_KERN_VALUE を読み取ります;
• オンディスクの属性ツリーのキー長を 1 つだけ 2,884 に変更します; そして
• その長いキーを、ブート固有のマーカーを繰り返して埋めます。

不正なコピーは決定論的です。Probabilistic GZAlloc が、上書きが即座にフォールトする場所にガードを配置するかどうかは決定論的ではありません。

要件

• 脆弱な macOS リリースを実行している Apple シリコンの Mac;
• Python 3;
• オプションの commpage ヘルパー用の Xcode Command Line Tools; そして
• macOS の hdiutil および xattr コマンド。

サードパーティの Python パッケージは必要ありません。

イメージの生成

ヘルパーはオプションですが、イメージが生成される前にブートごとの値を明示的にします:

cd poc
clang -O2 -Wall -Wextra check_commpage.c -o check_commpage
./check_commpage

ベースイメージを作成し、その属性ツリーにパッチを適用します:

./create_base_dmg.sh base_with_attrs.dmg
python3 craft_attr_poc_asb.py \
  base_with_attrs.dmg \
  cve-2026-43682.dmg \
  2884