DEVCORE exécute du code dans Safari 26.5 lors de POC 2026
La chaîne d'exploitation WebKit a fonctionné avec le bac à sable activé et a affiché le contenu de /etc/passwd, selon dailysecu.com.
Des chercheurs de DEVCORE ont présenté le 12 novembre à POC 2026, à Séoul, une chaîne d'exploitation WebKit permettant d'exécuter du code dans le processus de contenu web de Safari 26.5, avec le bac à sable du navigateur activé. Selon dailysecu.com, la démonstration a affiché le contenu du fichier /etc/passwd.
La conférence, intitulée « Obvious Was Only the Beginning: A WebKit Exploit Chain for Pwn2Own », a été donnée par Kuan-Ting Chen et Ting-Yu Chen. Leur première piste était une faille de type use-after-free dans la gestion de la croissance mémoire de WebAssembly au sein de JavaScriptCore, mais elle était déjà corrigée dans la version de Safari déployée.
Les deux chercheurs se sont ensuite tournés vers un bug mémoire connexe dans l'étage d'optimisation DFG de JavaScriptCore, où l'adresse d'un tampon modifiable était traitée comme une constante.
Ils ont aussi contourné le Pointer Authentication Code d'Apple Silicon en analysant la compilation JIT et l'allocation mémoire de WebKit. Selon eux, des modèles de langage de grande taille ont servi à réduire le périmètre de recherche et à écrire du code, tandis que le contournement de l'authentification de pointeur a été trouvé par leurs propres moyens.
La démonstration s'arrête à l'exécution de code dans le processus de contenu web de Safari, sans accès complet au système d'exploitation. Apple a activé dans la bêta de macOS 27.3 un « JIT Cage » limitant la portée d'exécution du code JIT, mais les chercheurs n'ont pas eu le temps d'en vérifier l'effet.
Pas de passage à Pwn2Own Berlin
Ce travail avait été préparé pour Pwn2Own Berlin 2026 mais n'a pas pu y être présenté. En mai 2026, DEVCORE y avait enregistré 17 exploits fonctionnels, dont seulement 4 ont pu être démontrés ; l'équipe avait remporté l'épreuve avec 50,5 points et 505 000 USD.
En bref
Quel type d'accès la démonstration de DEVCORE a-t-elle permis ?
Une exécution de code dans le processus de contenu web de Safari 26.5, avec le bac à sable activé, et non un accès complet au système d'exploitation.
Où et quand la démonstration a-t-elle eu lieu ?
À POC 2026, à Séoul, le 12 novembre.
Pourquoi ce travail n'a-t-il pas été présenté à Pwn2Own Berlin 2026 ?
Les chercheurs l'avaient préparé pour cet événement de mai 2026, mais il n'a pas pu y être démontré.