https://cyberveille.ch/tags/cve-2026-64699/ Recent content in CVE-2026-64699 on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Wed, 29 Jul 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-07-29-apple-mie-deux-vulnerabilites-smb-webdav-permettent-une-lpe-sur-macos-26-x/ Wed, 29 Jul 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-07-29-apple-mie-deux-vulnerabilites-smb-webdav-permettent-une-lpe-sur-macos-26-x/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 27 juillet 2026 sur le blog de Calif Global (blog.calif.io) par Bruce Dang, cet article détaille deux vulnérabilités exploitées pour réaliser le <strong>premier bypass public d&rsquo;Apple MIE (Memory Integrity Enforcement)</strong> sur <strong>macOS 26.4.1</strong>. Les correctifs ont été intégrés dans <strong>macOS 26.6</strong>. La présentation complète est annoncée à <strong>Black Hat USA le 5 août 2026</strong>.</p> <h2 id="-vulnérabilité-1--type-confusion-smb-cve-2026-64704">🐛 Vulnérabilité 1 — Type Confusion SMB (CVE-2026-64704)</h2> <ul> <li>Composant affecté : <strong>SMBClient</strong> (open-source, version SMBClient-538.100.12)</li> <li>Mécanisme : lors d&rsquo;une requête <strong>SMB2 CREATE</strong> avec un contexte AAPL « Resolve ID », un serveur malveillant peut répondre avec un contexte de type <strong>lease (RqLs)</strong> à la place</li> <li>Le parseur <code>smb2_smb_parse_create_contexts</code> ne vérifie pas le type de contexte envoyé et réinterprète le pointeur <code>create_contextp</code> selon le nom présent dans la réponse du serveur</li> <li>Résultat : <strong>confusion de types</strong> entre <code>struct smb2_create_ctx_resolve_id</code> et <code>struct smb2_dur_hndl_and_lease</code> — le champ <code>file_id</code> (contrôlé par l&rsquo;attaquant via <code>fsgetpath(2)</code>) est interprété comme un pointeur <code>leasep</code>, permettant une <strong>lecture/déréférencement de pointeur arbitraire en kernel</strong></li> <li>Déclencheur : syscall <code>fsgetpath(2)</code> sur un volume smbfs monté sur un serveur malveillant ayant annoncé les bonnes capability flags</li> </ul> <h2 id="-vulnérabilité-2--fuite-mémoire-kernel-webdav-cve-2026-64699">🐛 Vulnérabilité 2 — Fuite mémoire kernel WebDAV (CVE-2026-64699)</h2> <ul> <li>Composant affecté : <strong>webdavfs</strong> (open-source, version webdavfs-403.0.0.0.1)</li> <li>Mécanisme : dans le chemin de lecture hors-bande (<code>webdav_read_bytes</code>), le kext alloue un buffer jusqu&rsquo;à <strong>16 MB sans M_ZERO</strong> (mémoire non initialisée)</li> <li>L&rsquo;agent userspace (<code>webdavfs_agent</code>) traite tout code HTTP 2xx comme un succès — un serveur malveillant peut répondre avec un <strong>HTTP 206 vide</strong> (corps de longueur zéro)</li> <li>Le kext ne vérifie jamais que <code>iolen</code> couvre effectivement le buffer de réponse attendu</li> <li>Résultat : <code>uiomove</code> copie vers userspace <strong><code>request_read.count</code> octets de mémoire kernel non initialisée</strong>, constituant une <strong>infoleak kernel</strong> jusqu&rsquo;à 16 MB</li> </ul> <h2 id="-chaîne-dexploitation">⛓️ Chaîne d&rsquo;exploitation</h2> <ul> <li>Combinaison des deux bugs pour obtenir des <strong>primitives de lecture/écriture kernel arbitraires</strong></li> <li>Objectif final : <strong>exécution de code en kernel</strong> et élévation de privilèges jusqu&rsquo;à <strong>root</strong> depuis un utilisateur non privilégié, avec <strong>Apple MIE activé</strong></li> <li>Durée de développement de l&rsquo;exploit : <strong>environ 5 jours</strong> de la découverte du bug à l&rsquo;exploit finalisé</li> </ul> <h2 id="-challenge-communautaire">🏆 Challenge communautaire</h2> <p>Calif Global lance un challenge public invitant humains, IA et équipes mixtes à développer un exploit complet utilisant ces deux CVE pour bypasser Apple MIE et atteindre root, avant la révélation de leur propre approche à Black Hat.</p>