概念验证

此概念验证预计会导致受影响的 Mac 发生内核崩溃并重启。 请仅在一次性测试系统上使用它。证据采集使用的是运行 macOS Tahoe 26.3 (25D125) 的 Apple silicon。Apple 已在 Tahoe 26.6、Sequoia 15.7.8 和 Sonoma 14.8.8 中修复了 CVE-2026-43682。

该 PoC 是一个磁盘映像生成器，而非权限提升漏洞利用。它会：

• 创建一个带有 attributes B-tree 的小型 HFS+ 卷；
• 在 Apple silicon 上读取当前启动的 _COMM_PAGE_ASB_TARGET_KERN_VALUE；
• 将磁盘上某个 attributes-tree 键的长度改为 2,884；并且
• 用重复的、特定于本次启动的标记填充该长键。

畸形副本是确定性的。Probabilistic GZAlloc 是否会在覆写立即触发故障的位置放置一个 guard，则不是。

要求

• 一台运行存在漏洞的 macOS 版本的 Apple-silicon Mac；
• Python 3；
• 用于可选 commpage 辅助工具的 Xcode Command Line Tools；以及
• macOS 的 hdiutil 和 xattr 命令。

不需要第三方 Python 包。

生成映像

该辅助工具是可选的，但它会在生成映像之前明确显示每次启动的值：

cd poc
clang -O2 -Wall -Wextra check_commpage.c -o check_commpage
./check_commpage

创建基础映像并修补其 attributes 树：

./create_base_dmg.sh base_with_attrs.dmg
python3 craft_attr_poc_asb.py \
  base_with_attrs.dmg \
  cve-2026-43682.dmg \
  2884

Python 脚本会打印同一次启动的内核 Target Flag 值以及写入映像中的模式。

触发

挂载该映像或随后对其建立索引，可能就足以到达存在漏洞的 attributes 路径。测试期间使用的显式触发方式为：

hdiutil attach -readonly -nobrowse cve-2026-43682.dmg
ls -l@ /Volumes/AttrPOC/

在存在漏洞的系统上，预期结果是在复制超大 B-tree 键期间发生内核数据中止。在已修复的系统上，畸形键应被拒绝，而不会造成内核内存损坏。

在一次未崩溃的运行之后，使用以下命令卸载测试卷：

hdiutil detach /Volumes/AttrPOC