CVE-2026-65343-e7eb2ed

PoC para CVE-2026-65343, uma leitura fora dos limites (OOB read) no kernel do AppleKeyStore no iOS 26.6 que vaza ponteiros do kernel para contornar o KASLR a partir de um app em sandbox via captura de handle ACM com DYLD_INTERPOSE.

Ao fornecer declared_length = 0x800, o driver copia aproximadamente 0x7E8 bytes além do fim do buffer de mensagem ACM do kernel — lendo em alocações adjacentes do heap do kernel. Essas regiões adjacentes contêm ponteiros do kernel (0xfffffff0xxxxxxxx) que podem ser usados para calcular o deslocamento do KASLR.

Captura de Handle ACM (DYLD_INTERPOSE)

O IOServiceOpen("AppleKeyStore") direto é bloqueado pelo sandbox em apps sideloaded. No entanto, o caminho de assinatura de chave do Secure Enclave do Security.framework chama IOConnectCallMethod no próprio processo com um handle de sessão ACM real.

O PoC usa um hook __DATA,__interpose (que é executado no momento de carregamento do dyld, antes que __DATA_CONST se torne somente leitura — o fishhook é bloqueado no iOS 26 pela proteção DATA_CONST):

1. Armar a flag de captura do interpose
2. SecKeyCreateRandomKey(kSecAttrTokenIDSecureEnclave) → SecKeyCreateSignature() → IOConnectCallMethod no próprio processo dispara com um handle ACM real
3. Capturar (conn, handle[16])
4. Repetir com declared_length = 0x800 em 163 seletores AKS
5. Escanear a saída em busca de ponteiros do kernel 0xfffffff0xxxxxxxx → calcular o deslocamento do KASLR

Comportamento do PoC

poc_aks_oob.m implementa a cadeia completa de captura de handle ACM e sondagem OOB:

• Cria uma chave P-256 do Secure Enclave (kSecAttrAccessibleAfterFirstUnlock, sem biometria)
• Assina uma mensagem de 32 bytes para disparar a chamada IOKit AKS no próprio processo
• Repete com declared_length = 0x800 em todos os 163 seletores AKS
• Imprime quaisquer ponteiros do kernel encontrados em KPTR @+XXXX = 0xfffffff0YYYYYYYY
• Tenta calcular o deslocamento do KASLR a partir de um offset de símbolo AKS conhecido

Se a assinatura da chave SE for roteada via XPC do secd em vez de no próprio processo, a sondagem de fallback usa um handle zero (confirma a alcançabilidade do caminho OOB; todos os seletores falharão na validação ACM, mas o caminho VNOP é confirmado).

Nota sobre iOS 26: fishhook Bloqueado

No iOS 26, __DATA_CONST (que contém a GOT) é mapeado como somente leitura antes que qualquer código no próprio processo seja executado. Escritas em tempo de execução na GOT (como as usadas pelo fishhook) disparam KERN_PROTECTION_FAILURE → SIGBUS. O DYLD_INTERPOSE via __DATA,__interpose funciona porque o dyld processa a tabela de interpose no momento de carregamento da imagem, antes que o kernel imponha a proteção __DATA_CONST.

Requisitos

• iOS 26.6 (23G71) ou anterior
• Acesso ao Secure Enclave (kSecAttrTokenIDSecureEnclave) — disponível para qualquer app sideloaded sem entitlements
• Nenhuma fuga do sandbox é necessária: a chamada IOKit AKS é feita no próprio processo via Security.framework

Compilação

Entitlements mínimos (ent.plist):

Linha do Tempo

Referências

• Apple Security Advisory — iOS 26.6.1

CVE-2026-65343-e7eb2ed