george0papasotiriou/cve-2026-6666-xpc-service-nskeyedunarchiver-deserialization-attack-macos-ios-simulation-Serviço XPC simulado de macOS/iOS vulnerável à desserialização de NSKeyedUnarchiver, além de demonstração de exploit e payload plist elaborado para RCE via desserialização insegura.
#!/usr/bin/env python3
# vulnerable_xpc_service.py - Simulated XPC service using unsafe plist deserialization
import plistlib, subprocess, socketserver, struct
# Mach message simulation: we just accept a binary plist over TCP.
class XPCHandler(socketserver.BaseRequestHandler):
def handle(self):
raw = self.request.recv(4096)
# Insecure: using plistlib.loads on untrusted data without sanitization
plist_data = plistlib.loads(raw) # In real macOS, NSKeyedUnarchiver can execute code
# Simulate a command being embedded in the plist
command = plist_data.get("runCommand")
if command:
subprocess.Popen(command, shell=True)
self.request.sendall(b"Success")
server = socketserver.TCPServer(('localhost', 8888), XPCHandler)
print("Vulnerable XPC service on :8888")
server.serve_forever()
Um serviço XPC no macOS/iOS desserializa mensagens Mach recebidas usando NSKeyedUnarchiver sem uma lista de permissões de codificação segura. Um atacante pode criar um grafo de objetos serializado que executa código arbitrário durante a desserialização.
NSKeyedUnarchiver é usado com dados não confiáveis e sem lista de permissões de classes, permitindo a instanciação de objetos que acionam a execução de código (ex.: NSInvocation).python vulnerable_xpc_service.py
python exploit_xpc.py