Exploit for CVE-2026-65330

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-BYTEV0RTEX-CVE-2026-65330
# CVE-2026-65330 — tmpfs setxattr PAC 우회

**구성 요소:** XNU VFS — `default_setxattr_doubleagent` (tmpfs VNOP)  
**영향:** iOS / iPadOS 26.6 (23G71) 및 이전 버전  
**수정 버전:** iOS / iPadOS 26.6.1 (23G83)  
**유형:** xattr 핸들러 포인터 서명의 고정 PAC diversifier  
**영향:** 커널 컨텍스트에서 PC 제어; 커널 쓰기 프리미티브와 결합 시 전체 권한 상승

* * *

## 크레딧

발견자: **Bhaswanth Chigurupati** , **Billy Jheng Bing Jhong** , **Pan Zhenpeng (@Peterpan0927)** — STAR Labs SG Pte. Ltd.  
(Apple 보안 권고 — iOS 26.6.1 참조)

* * *

## 근본 원인

`default_setxattr_doubleagent`는 tmpfs 파일시스템의 VNOP xattr 핸들러로, xattr 핸들러 함수 포인터를 **고정된 컴파일 타임 상수 PAC diversifier`#0x307a`** 로 서명합니다.

root@kitploit:~
    
    
    ; XNU 커널 — default_setxattr_doubleagent (디컴파일됨)
    handler_ptr = vnode_operations[VNOP_SETXATTR_SLOT];   // vnop 테이블에서 읽기
    signed_ptr  = PACDA(handler_ptr, 0x307a);             // 고정 diversifier로 서명
    ... call AUTDA(signed_ptr, 0x307a) → BLR             // 인증 후 분기
    

diversifier가 고정되어 있고 공개적으로 알려져 있기 때문에, 커널 쓰기 프리미티브를 가진 공격자는 다음을 수행할 수 있습니다:

  1. 임의의 커널 주소에 대한 PAC 서명 포인터를 위조:  
`forged = PACIA(shellcode_addr, 0x307a)`
  2. 대상 vnode의 `vnode_operations` 테이블의 해당 슬롯에 `forged`를 기록합니다.
  3. tmpfs 마운트의 모든 파일에 `setxattr()` 호출 → 커널이 `shellcode_addr`을 실행합니다.



* * *

## 익스플로잇 체인에서의 역할

iOS 26.6 커널 권한 상승 체인에서:

root@kitploit:~
    
    
    CVE-2026-64788 (IOGPUFamily UAF)  →  커널 읽기/쓰기 프리미티브
    CVE-2026-65330 (이 버그)          →  PC 제어 → root (uid=0)
    

`sign_ptr` 프리미티브(diversifier `#0x307a`를 사용한 PACIA)는 탈옥 POC에서 인라인 ARM64e 어셈블리로 구현됩니다. 커널 읽기/쓰기 프리미티브는 다음 용도로 사용됩니다:

  1. 대상 vnode의 `v_op` 포인터를 찾습니다.
  2. 위조된 PAC 포인터를 `vnode_operations[VNOP_SETXATTR_SLOT]`에 기록합니다.
  3. `setxattr("/tmp/trigger", ...)`를 통해 실행을 트리거합니다.



* * *

## PoC 동작

독립형 PoC(`poc_pac_bypass.c`)는 취약한 VNOP 경로를 실행합니다:

  * `/var/root/poc65330_test`에 테스트 파일 생성
  * `XATTR_NAME="com.apple.poc.cve65330.test"`로 `setxattr()` 호출 → `default_setxattr_doubleagent`에 도달
  * VNOP가 반복적으로 실행되는지 확인하기 위해 10회 반복 스트레스 패스 실행
  * 정리 경로에 도달하기 위해 `removexattr()` 호출
  * 테스트 파일 정리



PoC는 PAC 포인터를 위조하거나 커널 데이터를 덮어쓰지 **않습니다** — 일반적인 `setxattr()` syscall을 통해 사용자 공간에서 취약한 `#0x307a` 서명 경로에 도달할 수 있음을 보여줄 뿐입니다.

* * *

## 요구 사항

  * iOS 26.6 (23G71) 또는 이전 버전
  * `/var/root/` 파일 생성을 위한 탈옥 또는 샌드박스 이탈 (`setxattr` 호출 자체는 모든 프로세스에서 도달 가능 — 파일 경로는 샌드박스에서 쓰기 가능한 위치로 조정 가능)
  * 전체 PC 제어 익스플로잇을 위한 커널 쓰기 프리미티브 필요



* * *

## 빌드

root@kitploit:~
    
    
    # 독립형 C 바이너리 (프레임워크 불필요)
    clang -arch arm64 -o poc poc/poc_pac_bypass.c
    
    # 기기 내 실행용 (서명 포함):
    clang -arch arm64 -isysroot $(xcrun --sdk iphoneos --show-sdk-path) \
          -o poc poc/poc_pac_bypass.c
    codesign -s "Apple Development" poc
    

* * *

## Diversifier 검증

고정 diversifier `0x307a`는 26.6 (23G71) kernelcache의 디스어셈블리에서 검증되었습니다:

root@kitploit:~
    
    
    ; default_setxattr_doubleagent + 0x?? (근사치)
    MOVZ  x1, #0x307a          ; diversifier 상수
    PACDA x0, x1               ; 핸들러 포인터 서명
    

호출 지점의 해당 `AUTDA x0, x1`은 동일한 상수를 사용하므로, diversifier `0x307a`로 PACIA 위조된 모든 포인터가 성공적으로 인증됨을 확인합니다.

* * *

## 타임라인

날짜| 이벤트  
---|---  
2026-08-17| 수정 사항이 포함된 iOS 26.6.1 릴리스  
2026-08-17| Apple 보안 권고에 크레딧 게시  
  
* * *

## 참고 자료

  * Apple 보안 권고 — iOS 26.6.1