iOS26.6-CVE-2026-65343

# Prova de Conceito CVE-2026-65343 — Leitura fora dos limites do AppleKeyStore → Neutralização do KASLR (iOS 26.6 / 23G71)

Ao fornecer declared_length = 0x800, o driver copia aproximadamente 0x7E8 bytes além do final do buffer de mensagem ACM do kernel — lendo em alocações adjacentes do heap do kernel. Essas regiões adjacentes contêm ponteiros do kernel (0xfffffff0xxxxxxxx) que podem ser usados para calcular o slide do KASLR.

Captura do Handle ACM (DYLD_INTERPOSE)

O acesso direto a IOServiceOpen("AppleKeyStore") é bloqueado pela sandbox em aplicativos sideloaded. No entanto, o caminho de assinatura de chaves do Secure Enclave do Security.framework chama IOConnectCallMethod no processo com um handle de sessão ACM real.

O PoC usa um hook __DATA,__interpose (que é executado no momento do carregamento do dyld, antes que __DATA_CONST se torne somente leitura — fishhook é bloqueado no iOS 26 pela proteção DATA_CONST):

1. Ativa o sinalizador de captura do interpose
2. SecKeyCreateRandomKey(kSecAttrTokenIDSecureEnclave) → SecKeyCreateSignature() → IOConnectCallMethod no processo é acionado com um handle ACM real
3. Captura (conn, handle[16])
4. Reproduz com declared_length = 0x800 em 163 seletores AKS
5. Examina a saída em busca de ponteiros do kernel 0xfffffff0xxxxxxxx → calcula o slide do KASLR

Comportamento do PoC

poc_aks_oob.m implementa a cadeia completa de captura do handle ACM e sondagem OOB:

• Cria uma chave P-256 do Secure Enclave (kSecAttrAccessibleAfterFirstUnlock, sem biometria)
• Assina uma mensagem de 32 bytes para acionar a chamada AKS IOKit no processo
• Reproduz com declared_length = 0x800 em todos os 163 seletores AKS
• Imprime quaisquer ponteiros do kernel encontrados em KPTR @+XXXX = 0xfffffff0YYYYYYYY
• Tenta calcular o slide do KASLR a partir de um offset de símbolo AKS conhecido

Se a assinatura da chave SE for roteada através do XPC do secd em vez do processo, a sonda de fallback usa um handle zero (confirma a acessibilidade do caminho OOB; todos os seletores falharão na validação ACM, mas o caminho VNOP é confirmado).

Nota sobre iOS 26: fishhook Bloqueado

No iOS 26, __DATA_CONST (que contém o GOT) é mapeado como somente leitura antes que qualquer código no processo seja executado. Escritas em tempo de execução no GOT (como usadas pelo fishhook) acionam KERN_PROTECTION_FAILURE → SIGBUS. DYLD_INTERPOSE via __DATA,__interpose funciona porque o dyld processa a tabela de interpose no momento do carregamento da imagem, antes que o kernel aplique a proteção __DATA_CONST.

Requisitos

• iOS 26.6 (23G71) ou anterior
• Acesso ao Secure Enclave (kSecAttrTokenIDSecureEnclave) — disponível para qualquer aplicativo sideloaded sem entitlements
• Sem necessidade de escape da sandbox: a assinatura de chaves SE via Security.framework pode invocar a chamada AKS IOKit no processo (depende do dispositivo e da build do iOS). Em algumas configurações, a chamada é roteada através do XPC do secd — nesse caso, o fallback com handle zero confirma a acessibilidade do caminho OOB, mas não a evasão completa do KASLR.

Compilação

Entitlements mínimos (ent.plist):

Linha do Tempo

Referências

• Apple Security Advisory — iOS 26.6.1