CVE-2026-86950: تجاوز سعة صحيح في CoreGraphics

إطار عمل استغلال لثغرة CVE-2026-86950، وهي تجاوز سعة صحيح حرج في مُنقّط anti-aliasing الخاص بـ CoreGraphics في Apple يؤثر على iOS 26.7 وmacOS 26.7.

الثغرة

يؤدي تجاوز السعة الصحيح في aa_double_to_fixed() أثناء عرض الخطوط إلى كتابة خارج حدود الكومة (out-of-bounds heap write) عبر حسابات صندوق الإحاطة التالفة. قابلة للاستغلال عبر خطوط TrueType خبيثة في ملفات PDF.

• CVSS: 9.6 (حرجة)
• الحالة: تم إصلاحها في iOS/macOS 26.7.1+
• التوصيل: ملف PDF بخط مضمّن (WhatsApp، iMessage، Preview.app)

الملفات

إطار الاستغلال

• exploit_full.py — مولّد استغلال macOS (خط + PDF + سلسلة ROP)
• exploit_ios.py — نسخة iOS (تعقيد مخفّض، تحجيم من 5 مستويات)
• leak_extractor.py — تحليل تفريغات الأعطال، حساب تجاوز ASLR
• rop_builder.py — بناء سلسلة أدوات ROP لمعمارية ARM64

المخرجات

• CVE-2026-86950_ArXiv.pdf — الورقة التقنية الكاملة (20 صفحة، جاهزة لمراجعة الأقران)
• exploit.ttf / ios_exploit.ttf — خطوط خبيثة (تسلسل الحروف الرسومية المركّبة)
• exploit.pdf / ios_exploit.pdf — ملفات PDF مُشغِّلة بخطوط مضمّنة
• cve_2026_86950_payload.bin — ملف ثنائي لسلسلة ROP لمعمارية ARM64

التوثيق

• ACADEMIC_PAPER.md — المصدر بصيغة Markdown للورقة البحثية
• ATTRIBUTION.md — اعتمادات المؤلف والمراجع
• QUICK_START.txt — دليل الإعداد في 5 دقائق
• Makefile — إعدادات البناء
• run_exploit.sh — خط أنابيب آلي من 6 مراحل

البدء السريع

توليد مخرجات macOS

python3 exploit_full.py .
# Outputs: exploit.ttf, exploit.pdf, Makefile

إنشاء حزم iOS

python3 exploit_ios.py .
# Outputs: ios_exploit.ttf, ios_exploit.pdf, ios_payload.bin

استخراج تسريب ASLR

python3 leak_extractor.py crash.log
# Parse lldb output, calculate library bases

بناء سلسلة ROP

python3 rop_builder.py 0x0000000192200000
# Generate: cve_2026_86950_payload.bin

تشغيل خط الأنابيب الكامل (macOS)

make -C . all
make -C . run  # Requires lldb debugger

مراحل الاستغلال

1. صياغة الخط — إنشاء خط TrueType خبيث مع تحجيم الحروف المركّبة (1.99994^7 ≈ 127x)
2. تضمين PDF — تضمين الخط، وعرض 256 حرفًا لرشّ الكومة (heap-spray)
3. التحفيز — استدعاء CGImageSourceCreateThumbnailAtIndex() ← انهيار مع كتابة خارج الحدود (OOB write)
4. استخراج التسريب — تحليل تفريغ الانهيار، واستخراج قيم السجلات ← تجاوز ASLR (نظري)
5. إفساد الكومة — صياغة حمولة لإفساد بيانات malloc الوصفية (نظري)
6. تنفيذ الشيفرة — سلسلة ROP لمعمارية ARM64 لتنفيذ صدفة أوامر (نظري)

تتطلب المراحل 4-6 اكتشاف أدوات (gadgets) حقيقية عبر Ghidra/IDA Pro على ثنائيات CoreGraphics.

التفاصيل التقنية

الخلل

int32_t aa_double_to_fixed(double px) {
    double v = 0.5 + 4096.0 * px;  // No overflow check
    return (int32_t)v;               // Cast overflow
}

فيضان عندما px > 524,288 بكسل. فرق ARM64: FCVTZS يتشبع إلى INT32_MAX، لكن المتجه XTN يقتطع → انعكاس صندوق الإحاطة → تخصيص كومة أصغر من اللازم.

مسار الاستغلال

1. تكديس 7 مستويات من تحجيم الغليف المركّب → تكبير 127x
2. إثارة فيضان aa_double_to_fixed() في خط أنابيب العرض
3. صندوق الإحاطة التالف يسبب تخصيص مخزن تغطية أصغر من اللازم
4. الكتابة خارج حدود الكومة، وإتلاف بيانات malloc الوصفية المجاورة
5. استخدام المؤشر التالف لاختطاف تدفق التحكم → سلسلة ROP → تنفيذ الشيفرة

اختلافات المنصات

	macOS	iOS
التوصيل	PDF مباشر	مرفق PDF (Messages/WhatsApp)
العملية	Preview.app	خادم ImageIO (معزول)
مستويات التحجيم	7	5 (حد الذاكرة)
الامتياز	المستخدم	الخادم (يلزم الهروب من العزل)

النطاق والقيود

✅ يغطي:

• تحليل الثغرة والسبب الجذري
• صناعة الخطوط بمحفزات الفيضان
• تضمين PDF وتهيئة الكومة
• تحليل تفريغ الأعطال ومفاهيم ASLR
• توثيق تقني كامل

⚠️ يتطلب بحثًا خارجيًا:

• اكتشاف الأدوات الفعلية (المراحل 4-6) — تحليل ثنائي + إزاحات خاصة بالإصدار
• الهروب من عزل iOS — التسلسل مع ثغرات CVE إضافية
• التحقق على الأجهزة — الاختبار على عتاد/محاكي حقيقي

الإفصاح المسؤول

البحث مقدم لأغراض:

• ✅ الأغراض التعليمية
• ✅ اختبار الأمان والاختراق المصرح به
• ✅ التحليل الأكاديمي للثغرات

الاستغلال غير المصرح به غير قانوني.

المراجع

• Apple Security Advisory - CVE-2026-86950
• The Hacker News - Apple CoreGraphics PoC

---

المؤلف: 34zY
التاريخ: أكتوبر 2026
الحالة: مُرقّع، إطار تعليمي

إخلاء المسؤولية: هذا المشروع مخصص لاختبار الأمان المصرح به فقط. الوصول غير المصرح به إلى أنظمة الحاسوب غير قانوني.