摘要：CVE-2023-32434 是 Apple XNU 内核虚拟机（VM）层中的一个整数溢出漏洞，攻击者可通过恶意应用利用该漏洞以内核权限执行任意代码。该漏洞影响 iOS/iPadOS 15.7.7 之前版本、macOS Ventura 13.4.1 之前版本等广泛平台，并已被证实曾在 iOS 15.7 之前版本上遭到主动利用。本文从漏洞基础数据出发，深入分析其根因、利用原理、危害及修复策略，并结合公开的 Trigon 确定性内核利用项目进行技术解读。

📌 漏洞概述

CVE-2023-32434 的 CVSS 评分为 7.8（高危），属于本地权限提升漏洞。其核心成因是 XNU 内核在 VM（虚拟内存）子系统中对某些输入校验不充分，导致整数溢出。成功利用后，恶意应用能够在内核上下文执行任意代码，从而完全控制系统。

根据 Apple 官方安全公告，该漏洞影响以下版本：

• iOS 16.5.1 和 iPadOS 16.5.1（修复前影响 iOS 16.5 及更早版本）
• iOS 15.7.7 和 iPadOS 15.7.7（修复前影响 iOS 15.7 及更早版本）
• macOS Ventura 13.4.1
• macOS Monterey 12.6.7
• macOS Big Sur 11.7.8
• watchOS 9.5.2 和 watchOS 8.8.1

Apple 明确指出，该漏洞可能已被积极利用，针对的是 iOS 15.7 之前发布的版本。虽然 CISA KEV 目录尚未收录该漏洞，但其在野利用史和公开的确定性利用项目使其具有极高的研究价值。

🔬 漏洞根因分析

CVE-2023-32434 的本质是一个在 XNU 虚拟机层中的整数溢出漏洞。XNU 使用 Mach VM 子系统管理进程地址空间，涉及 vm_map、vm_object 以及各种内存分配和映射操作。漏洞触发点位于地址映射相关的计算过程中，具体涉及物理地址到虚拟地址的转换以及映射大小、偏移等的算术运算。

在 XNU 中，当用户进程通过 mach_vm_allocate 或 mach_vm_map 等接口申请内存映射时，内核需要根据用户提供的 size、offset 等参数计算最终的映射范围。若这些参数在 32 位或 64 位宽度的整数运算中出现溢出，就可能导致实际映射的内存范围远超预期，或者映射到错误的物理地址区域。Apple 的修复描述为“通过改进输入验证解决整数溢出问题”，这暗示漏洞是由于未充分验证的用户输入参与了大小的乘法或加法运算，导致计算结果被截断或回绕。

公开的 Trigon 利用项目进一步揭示了该漏洞的具体利用机理。Trigon 是一个确定性内核利用工具，支持 A9 至 A11 设备、iOS 13 至 15.7.6。其开发者指出，漏洞允许攻击者构建一个“任意物理地址映射原语”。这意味着通过巧妙的参数构造，攻击者可以让内核创建一块指向任意物理地址的虚拟映射，从而获得对该物理地址的读写能力。之所以称为“任意物理地址”，是因为整数溢出使得映射范围计算错误，使得最终映射的物理页框号（PFN）超出预期边界，进而可以覆盖到任意物理内存。

然而，这个原语有一个限制：无法直接读写页表。页表本身位于物理内存中，但对其访问被阻止。这使得攻击者无法直接通过修改页表来获得完整的虚拟地址空间控制权。Trigon 的开发者随后找到了一些巧妙的绕过技巧：利用物理地址映射原语先搜索和定位内核栈、内核数据区等关键结构，通过修改进程的地址空间元数据（如 vm_map 结构、vm_object 的偏移量）来间接实现虚拟读写原语。最终，Trigon 能构建完整的虚拟内存读写能力，并在内核中执行 shellcode。

整数溢出发生在哪个具体函数？根据对 XNU 源码的分析，问题可能与 Mach VM 中使用 unsigned int 或 uint32_t 类型存储某些大小、偏移量相关字段有关。在计算映射范围时，例如将页面数乘以页面大小（PAGE_SIZE），如果页面数是 32 位整数而页面大小为 4096，当页面数接近 2^20 时，乘法结果可能溢出 32 位。虽然 64 位环境下使用 64 位寄存器，但某些内部 API 或旧代码路径可能仍使用 32 位中间变量。此外，用户提供的 size 参数可能未经过上限检查，就与特定的对齐值相加或相减，导致回绕为很小的值，从而绕过后面的安全检查。

另一个可能的根因是 vm_map_copy_t 结构的处理。XNU 在 COPYIN/COPYOUT 和内存重映射操作中，会计算要复制的字节数。如果目标 vm_map 的偏移、大小或用户地址加长度溢出 64 位，则可能导致越界访问。Apple 的修复重点是“输入验证”，即对用户传入的 offset 和 size 进行严格检查，确保它们与页面边界的运算不会溢出，且映射目标不会超出进程允许的地址范围。

Trigon 的确定性特点说明该漏洞可以在特定系统配置下稳定触发，无需堆喷射或抢占。这暗示漏洞触发路径非常稳定，纯粹依靠整数溢出逻辑，而不依赖内存布局随机化或其他非确定性条件。这进一步说明了漏洞的严重性——攻击者可以预判内核的行为，并构造固定的输入来达成任意读写。

💥 影响与危害

成功利用 CVE-2023-32434 后，攻击者可以获得内核权限，这意味着：

• 完全控制设备：内核权限允许攻击者绕过所有用户态安全机制，读写任意内核内存，安装 rootkit 或持久化后门。
• 绕过安全隔离：突破沙盒限制，访问其他应用的敏感数据，读取钥匙串、照片、通讯录、位置记录等。
• 植入难以检测的恶意代码：可篡改内核函数指针或系统调用表，使安全软件无法发现异常。
• 影响全平台：该漏洞影响 iOS、iPadOS、macOS、watchOS，覆盖手机、平板、电脑、手表等大量设备。
• 在野利用：Apple 确认该漏洞已在 iOS 15.7 之前的版本上被主动利用，意味着攻击者已将其用于实际攻击，可能用于定向监控或其他高级行动。

Trigon 利用项目将攻击门槛大幅降低。尽管它不公开完整源码，但技术细节的披露意味着其他安全研究人员或攻击者可以复现，进而加速武器化利用的开发。对于政企用户和高价值目标，该漏洞构成严重威胁。

🛡️ 修复与缓解

Apple 在 2023 年 6 月 21 日发布的更新中修复了该漏洞，具体版本包括：

• iOS 16.5.1 / iPadOS 16.5.1
• iOS 15.7.7 / iPadOS 15.7.7
• macOS Ventura 13.4.1
• macOS Monterey 12.6.7
• macOS Big Sur 11.7.8
• watchOS 9.5.2
• watchOS 8.8.1

修复方案是改进对 VM 映射参数（size、offset）的输入验证，确保在整数运算前进行范围检查，避免溢出。

对于用户和企业的缓解措施：

• 立即升级：将所有 Apple 设备更新至最新可用版本，优先处理 iOS 设备，因为该漏洞已被在野利用。
• 启用自动更新：确保设备自动接收安全补丁。
• 限制未知应用安装：避免安装来路不明的应用或描述文件，减少恶意应用利用本地漏洞的机会。
• 监控安全公告：关注 Apple 安全更新页面，及时评估影响范围。
• 对于安全团队：如果设备无法升级，应进行行为监控，重点留意内核崩溃日志、异常的高权限操作或设备重启等可疑事件。

目前 CISA KEV 目录尚未收录 CVE-2023-32434，但鉴于实际利用报告，组织应主动将其纳入漏洞管理流程，视为高风险漏洞优先处理。

🧪 PoC 复现

从 GitHub 公开仓库抓取的实际 PoC 代码（仓库）。

📋 代码元数据语言md来源alfiecg24/Trigon针对性✅ 已验证与漏洞相关（代码含 CVE 引用）依赖见代码注释/README用法详见代码注释中的使用说明

# Trigon

Trigon is a deterministic kernel exploit based on CVE-2023-32434. It currently supports A9 - A11 devices running iOS 13 - 15.7.6 . Being deterministic means that this exploit will never panic during or after exploitation and is completely reliable.

Trigon exploits an integer overflow in the VM layer of XNU. The vulnerability allows us to build an arbitrary physical address mapping primitive. This gives us read/write primitives to any physical address **unless it's a page table**. Not being able to read page tables made exploitation more difficult,
but in the end we found some nice tricks to get around this issue and were able to build full virtual read/write primitives.

The full writeup can be found [here](https://alfiecg.uk/2025/03/01/Trigon.html). If you're into technical iOS-related writeups,
I would recommend you take a read! I have tried to make it as understandable as possible so that those who are not iOS researchers can follow it too.

⚔️ EXP 利用代码

截至分析时，Exploit-DB 未收录该 CVE 的公开利用代码。可利用上述 PoC 进行验证，或关注 Exploit-DB 更新。

🕵️ 检测指纹

针对该 CVE 的自动化检测规则（可直接用于扫描与审计）。

🛡️ Semgrep 审计规则: CVE-2023-32434.yaml

📋 代码元数据语言yaml来源rules/semgrep/CVE-2023-32434.yaml针对性✅ 按 CVE 匹配依赖semgrep用法semgrep --config CVE-2023-32434.yaml

rules:
  - id: CVE-2023-32434-binary-exploit-generic
    languages: [generic]
    severity: ERROR
    message: >-
      Detected potential binary exploitation code structure similar to Operation
      Triangulation's kernel exploit framework (CVE-2023-32434,CVE-2023-38606).
      The code uses magic numbers (0xBEDF00D,0xF00DBEEF,
0x12345678) and
      specific package ID patterns associated with Coruna exploit kit. This may
      indicate use of an advanced kernel exploitation framework targeting iOS.
    patterns:
      - pattern-either:
          - pattern: "0xBEDF00D"
          - pattern: "0xF00DBEEF"
          - pattern: "0x12345678"
    fix: >-
      Ensure all kernel-related code and binary file parsing follows secure
      coding practices;
validate inputs rigorously and avoid embedding exploit
      constants.
    metadata:
      cwe: "CWE-1104"
      owasp: "A6: Security Misconfiguration"
      technology: ios
      references:
        - "https://nvd.nist.gov/vuln/detail/CVE-2023-32434"
        - "https://nvd.nist.gov/vuln/detail/CVE-2023-38606"
  - id: CVE-2023-32434-language-id-generic
    languages: [generic]
    severity: ERROR
    message: >-
      Detected pattern matching the Operation Triangulation/CORUNA framework:
      package ID with high byte 0xF2,
0xF3,0xA2,0xA3,0xE2 indicating exploit
      or loader targeting iOS devices. This is a strong indicator of kernel
      exploit code (CVE-2023-32434,
CVE-2023-38606).
    patterns:
      - pattern-either:
          - pattern: "Package ID 0xF3"
          - pattern: "Package ID 0xF2"
          - pattern: "Package ID 0xA3"
          - pattern: "Package ID 0xA2"
          - pattern: "Package ID 0xE2"
    fix: >-
      Remove or replace any hardcoded exploit package identifiers;
ensure all
      external component loading is validated against expected benign values.
    metadata:
      cwe: "CWE-1104"
      owasp: "A6: Security Misconfiguration"
      technology: ios
      references:
        - "https://nvd.nist.gov/vuln/detail/CVE-2023-32434"
        - "https://nvd.nist.gov/vuln/detail/CVE-2023-38606"
  - id: CVE-2023-32434-chacha20-key-generic
    languages: [generic]
    severity: ERROR
    message: >-
      Detected potential hardcoded ChaCha20 decryption key used in the Coruna
      exploit framework (Operation Triangulation). This may indicate exploit
      component decryption logic (CVE-2023-32434,
CVE-2023-38606).
    patterns:
      - pattern: "ChaCha20 key"
    fix: >-
      Use proper key management and avoid hardcoding decryption keys;if key is
      required,
use secure key exchange mechanisms.
    metadata:
      cwe: "CWE-321"
      owasp: "A2: Cryptographic Failures"
      technology: ios
      references:
        - "https://nvd.nist.gov/vuln/detail/CVE-2023-32434"
        - "https://nvd.nist.gov/vuln/detail/CVE-2023-38606"
  - id: CVE-2023-32434-macho-loader-generic
    languages: [generic]
    severity: ERROR
    message: >-
      Detected Mach-O loader package identifier related to Coruna framework (IDs
      0xA3,
0xA2,0x80000 etc.). May be part of iOS kernel exploit chain
      (CVE-2023-32434,CVE-2023-38606).
    patterns:
      - pattern-either:
          - pattern: "Mach-O loader"
          - pattern: "0xA3 loader"
          - pattern: "0xA2 loader"
    fix: >-
      Validate that any loader binaries are from trusted sources;
avoid loading
      unsigned or arbitrary Mach-O binaries.
    metadata:
      cwe: "CWE-1104"
      owasp: "A6: Security Misconfiguration"
      technology: ios
      references:
        - "https://nvd.nist.gov/vuln/detail/CVE-2023-32434"
        - "https://nvd.nist.gov/vuln/detail/CVE-2023-38606"
  - id: CVE-2023-32434-implant-id-generic
    languages: [generic]
    severity: ERROR
    message: >-
      Detected implant file IDs (0x10000,
0xE2,2) characteristic of Coruna
      surveillance/exploit framework used in Operation Triangulation. This is a
      strong indicator of implant or spyware delivery (CVE-

🛡️ CodeQL 审计规则: CVE-2023-32434.ql

📋 代码元数据语言ql来源rules/codeql/CVE-2023-32434.ql针对性✅ 按 CVE 匹配依赖codeql用法codeql database run

/**
 * @kind problem
 * @id cpp/kernel-exploit/cve-2023-32434
 * @name Missing kernel exploit mitigations in iOS kernel exploitation
 * @description The exploit framework contains code that performs unchecked memory operations on kernel objects,
potentially allowing privilege escalation
 * @problem.severity error
 * @tags security
 *       external/cwe/cwe-787
 */
import cpp
import semmle.code.cpp.dataflow.DataFlow

/**
 * A source for kernel exploitation data coming from user-controlled input.
 */
class ExploitUserSource extends DataFlow::Node {ExploitUserSource() {exists(FunctionCall fc |
fc.getTarget().getName().matches("%user_data%") or
      fc.getTarget().getName().matches("%client_data%")
    )
  }}/**
 * A sink that represents unsafe memory operations on kernel objects.
 */
class UnsafeKernelMemoryOp extends DataFlow::Node {UnsafeKernelMemoryOp() {exists(FunctionCall fc |
fc.getTarget().getName() = "memcpy" or
      fc.getTarget().getName() = "copyin" or
      fc.getTarget().getName() = "copyout" or
      fc.getTarget().getName().matches("%IOConnectCall%") or
      fc.getTarget().getName() = "IOConnectCallStructMethod" or
      fc.getTarget().getName() = "IOConnectCallScalarMethod"
    )
  }}class KernelExploitTaintConfig extends TaintTracking::Configuration {
KernelExploitTaintConfig() {this = "KernelExploitTaintConfig" }override predicate isSource(DataFlow::Node source) {source instanceof ExploitUserSource
  }override predicate isSink(DataFlow::Node sink) {sink instanceof UnsafeKernelMemoryOp
  }override predicate isAdditionalTaintStep(DataFlow::Node node1,DataFlow::Node node2) {// Data propagation through numeric operations
    exists(AddExpr add |
node2.asExpr() = add and node1.asExpr() = add.getAnOperand()) or
    // Data propagation through assignment chains
    exists(AssignExpr asgn |node2.asExpr() = asgn and node1.asExpr() = asgn.getRValue())
  }}from DataFlow::Node source,DataFlow::Node sink,KernelExploitTaintConfig cfg
where cfg.hasFlow(source,sink)
select sink,"Unsafe kernel memory operation using user-controlled data from $@",
source,"user input"

🤖 本文由漏洞情报系统自动聚合生成 · 2026-08-11 13:07 · 数据源: NVD/GitHub-Advisory/OSV/CISA-KEV/Exploit-DB/PoC-in-GitHub + 检测规则库