CVE-2017-2370

0x00.前言 这次提权利用的是machvoucherextractattrrecipetrap存在的一个漏洞，而利用方法的核心就是通过MACHMSGOOLPORTSDESCRIPTOR消息。 关于machmsg ool简单来说当发送一个包含ool descriptor的msg时，内核会将指定的数据从用户空间复制到内核空间，并且内核会一直保持这部分数据，直到目标 task 处理了消息。同样，当目标进程接收一个包含ool descriptor的消息时，内核会将数据从内核空间复制到用户空间（不一定是真正的复制）。因此可以利用这个技术点向内核堆中写入数据或者从内核读取数据。...

extra_recipe

// ianbeer 针对 iOS 10.2 上 CVE-2017-2370 的内核任意读写利用程序 仅在 iPod Touch 6G 14C92 上测试过——其他设备/固件无法开箱即用！ 漏洞 machvoucherextractattrrecipetrap 是一个可以从任何上下文调用的 mach trap。它是 iOS 10 中新增的代码。 kernreturnt machvoucherextractattrrecipetrapstruct machvoucherextractattrrecipeargs args ipcvouchert voucher = IVNULL;...

iOS 12 / macOS 10.14 voucher_swap Use-After-Free

Proof of concept for an older vulnerability from 2019. A use-after-free vulnerability in Apple's Mach voucher subsystem affects macOS version 10.14 and iOS version 12...

Apple macOS 10.12.1 / iOS 10.2 - Kernel Userspace Pointer Memory Corruption

Source: https://bugs.chromium.org/p/project-zero/issues/detail?id=1004 machvoucherextractattrrecipetrap is a mach trap which can be called from any context Here's the code: kernreturnt machvoucherextractattrrecipetrapstruct machvoucherextractattrrecipeargs args ipcvouchert voucher = IVNULL;...

Apple Mac OSX iOS - Unsandboxable Kernel Use-After-Free in Mach Vouchers

Apple Mac OSX iOS - Unsandboxable Kernel Use-After-Free in Mach Vouchers / Source: https://code.google.com/p/google-security-research/issues/detail?id=553 The mach voucher subsystem fails to correctly handle spoofed no-more-senders messages. ipckobjectserver will be called for mach messages sent ...