Нашёл репозиторий с собранными codeql databases по разным версиям XNU (после очередного разобранного 1day/я решил дать статическому анализу второй шанс... 🤕)

link: https://github.com/blacktop/darwin-xnu-build

В новых маках (m4+) есть поддержка аппаратной трассировки. Единственное, если судить по реализации в AppleProcessorTrace.kext, без костылей, по крайней мере на T6041, программно поддерживается только трейсинг el0 (что в целом тоже неплохо – особенно когда нужно разобраться со взаимодействием между XPC-сервисами!)

Когда-нибудь я доделаю патчи на el1-el2...

> Мам, можно Corellium?
< Но у нас есть Corellium дома
> Corellium дома:

Yet another fun fact:

Современный XNU запрещает указывать свой линкер через LC_LOAD_DYLINKER команду в mach/o бинаре (bsd/kern/mach_loader.c:3238).

Также для non-development армовых сборок запрещается в целом запуск static binaries (bsd/kern/mach_loader.c:1325)...

Не знаю для чего и почему так сделано, но это к сожалению прибило доступность одного красивого бага :/

Upd: знающие люди подсказали, что эти харденинги - последствие TaiG

link: https://newosxbook.com/articles/28DaysLater.html

https://ps.tc/pages/blog-usbliter8.html 🧐

Нет сил писать что-то вразумительное в канал в последнее время. Но в то же время не могу не поделиться своей небольшой радостью:
https://support.apple.com/en-us/127594

(Как выйду из отпуска обещаю выкатить интересный материал про Lockdown mode!)

ps: дальше – больше. Это лишь один из репортов)

Другой ресерчер также нашел эту багу и написал про неё статью. И даже реализовал красивый байпас ограничений выше – но к сожалению не смог добить из-за sptm. Рекомендую к чтению)

link: https://gracecondition.github.io/posts/dirtyslide/

Накидал простенькую vmm, что запускает эксклейвы (в бандле с cL4 и нужными тасками). Пока что поддерживается всего несколько hvc-шек и полностью отсутствует механизм апколлов, но это дело времени :)


(ps: вдохновился во многом приватной тулой от Apple - ExclaveVisor - что случайно попала ко мне в руки)

К слову, я не знаю ни одной публичной тулы, которая позволяла бы exclave/ы запускать и отлаживать. Но мне пока сложно оценить насколько это интересный и перспективный attack surface и есть ли вообще в этом всем смысл..

https://static.lukasarnold.de/pdfs/obtsv8-diving-into-c1.pdf

(ps: неплохая обзорная презентация про эпловый baseband)

Недавно нашёл довольно забавную регрессию, позволяющую обойти kaslr - как ядра, так и sptm

А сегодня, пока писал по ней отчёт, обнаружил рядом ещё и кривой bounds check. И, как оказалось, не один (sic!) В итоге докрутил до target flag

(btw: все еще очень жду релиза 26.6, чтобы наконец-то начать публиковать первые райтапы))

С днем security release! В этот список у меня залетела всего одна бага, так что ждем дальше 🫠

Кстати, залил райтапы, переделанные из отчетов, по CVE-2026-39868 и kernel VA leak (IOService::updateConsoleUsers) в репу на гитхабе.

Коллега по userspace тоже стиля раздает!