AGXProbe — مسبار استغلال CVE-2026-64747

الهدف: iPhone 13 (A15) على iOS 26.5.2. يضغط هذا التطبيق على مسارات قائمة أوامر GPU الخاصة بـ AGXG14P والتي يُحتمل أن تغذّي قناع بتات العدّاد لكل قائمة (count >= 0x400 → كتابة خارج النطاق في خانة بحجم 0x40 بايت → تلف في كومة النواة).

ما نعرفه (هندسة عكسية، 2026-08-10)

• الدالة المعرضة للخطر 0xfffffff008003a8c (إصدار 26.5.2): x1 = قناع العد 32-بت. لكل بت مضبوط n تنسخ قالبًا ثابتًا بحجم 0x40 بايت (00 00 00 00 + FF×60) إلى obj+0x1040+n*0x40 وobj+0x1540+n*0x40. الإصلاح في 26.6: رفض count >= 0x400 (أي أي بت ≥ 10). الخانات القانونية 0..9.
• يُجمَّع القناع عبر عملية OR تراكمية عبر دفعة مقدمّة من حقل [cmd+0x14] لكل أمر (الدالة المغلفة 0xfffffff00800c9d0). مصفوفات خانات الدفعة (10 خانات × 0x40) موجودة عند إزاحتي الكائن 0x1040 / 0x1540.
• count غير قابل للوصول عبر أي استدعاء/قيمة ثابتة — الدالة تُستدعى من خلال جدول توزيع مبني في زمن التشغيل (استدعاء PAC غير مباشر).
• غير معروف: أي أداة تحكم في مساحة المستخدم تغذّي [cmd+0x14] (أو القناع). هذا بالضبط ما يحاول هذا المسبار اكتشافه تجريبيًا.

فرضية الاستغلال

دفعة مقدمّة حيث يضبط حقل 0x14 لأحد الأوامر (أو عملية OR عبر الدفعة) بتًا ≥ 10. لذلك يغمر هذا المسبار كل سطح وصول محتمل بـقيم عالية البتات: قيم إشارات الأحداث المشتركة 1<<k (k=0..31)، أقنعة كثيفة (0x3FF|0x400..0xFFFFFFFF)، دفعات مفردة من 256 مخزنًا، حواجز (fences)، عرض + حوسبة + نسخ (blit)، 32 قائمة أوامر.

إذا تسبب المسبار في تفعيل الخلل، فالأعراض المتوقعة، بترتيب تصاعدي للخطورة:

1. يقتل النظام التطبيق أثناء التشغيل (تأثير جانبي على مساحة المستخدم لقائمة أوامر تالفة).
2. يُعاد تشغيل الجهاز بالكامل (انهيار نواة بسبب الكتابة خارج النطاق في كومة النواة والتي تصيب كائنًا حيًا). ← أقوى إشارة.
3. لا يحدث شيء (العدّاد غير قابل للتحكم عبر هذه الواجهات → يلزم سطح استغلال مختلف؛ أرسِل اللوج إلينا).

التثبيت — ipa مُجمّع مسبقًا (مبني عبر CI، غير موقّع)

يتم بناء ipa جاهز تلقائيًا بواسطة GitHub Actions عند كل push ويوضع في مصنوعات البناء (build artifacts) لآخر تشغيل (AGXProbe.ipa). إنه غير موقّع، لذا ثبّته مع أي أداة تثبيت جانبي بمعرّف Apple مجاني:

• ويندوز: Sideloadly (أو AltStore). أضف ملف ipa ومعرف Apple الخاص بك، وانقر Start. سيُثبَّت التطبيق لمدة 7 أيام.
• macOS: Sideloadly أو Xcode (انظر "البناء من المصدر" أدناه).

ملف ipa الحالي: bundle id com.agxprobe.test، arm64، MinOS 17.0. إذا رفضت أداة التثبيت الجانبي معرف الحزمة، أعد التوقيع بمعرّف فريد.

البناء من المصدر (يتطلب جهاز Mac — أي Mac، ومعرف Apple مجاني مناسب)

1. افتح AGXProbe.xcodeproj في Xcode (16.x).
2. في المشروع → الهدف AGXProbe → Signing & Capabilities:
   • فعّل Automatically manage signing،
   • اختر فريقك (معرف Apple المجاني / الفريق الشخصي)،
   • غيّر PRODUCT_BUNDLE_IDENTIFIER (مثل com.you.agxprobe1) إلى أي قيمة فريدة حتى ينجح التوقيع.
3. وصّل iPhone 13 (iOS 26.5.2)، واختره كوجهة تشغيل (جهاز، وليس محاكيًا).
4. اضغط Cmd-R. إذا ظهر خطأ "preferred signer" / خطأ تزويد (provisioning)، انقر Enable Development على الجهاز عند الطلب، ثم أعد المحاولة.

التشغيل

1. شغّل التطبيق. سيطبع اسم جهاز GPU على الشاشة — تأكد من أنه يعرض A15 GPU (مثل "Apple A15 GPU") وليس محاكيًا.
2. اضغط START. راقب سجل وحدة التحكم الأخضر.
3. تتكرر المراحل تلقائيًا كل 200 تكرار: eventStorm → inFlight → fenceStorm → multiQueue → computeHeavy → chainedEvents → mixed → (repeat).
4. اتركه يعمل لعدة دقائق. أبقِ الجهاز مستيقظًا (عطّل القفل التلقائي: الإعدادات ← العرض والسطوع ← القفل التلقائي ← أبدًا).

قراءة النتيجة

• الجهاز يعيد التشغيل من تلقاء نفسه ← المسبار فعّل الكتابة خارج النطاق. الآن التقط سجل الانهيار (أدناه) — هذا يؤكد المحفّز ويمنحنا موقع الانهيار لتوجيه هندسة كومة الذاكرة (heap feng shui).
• قتل النظام التطبيق (تومض الشاشة الرئيسية، "AGXProbe quit") ← من المحتمل إصابة جزئية؛ اجمع اللوج أيضًا.
• ما زال يعمل بعد أكثر من 5 دقائق ← على الأرجح أن العدّاد غير قابل للوصول عبر هذه الواجهات تحديدًا. احفظ اللوج على الجهاز (agxprobe.log في Documents الخاصة بالتطبيق، ويمكن الوصول إليه عبر تطبيق Files لأن UIFileSharingEnabled مفعّل) وأرسِله إلينا.

الحصول على سجل الانهيار

إذا حدث انهيار: الإعدادات ← الخصوصية والأمان ← التحليلات والتحسينات ← بيانات التحليلات ← ابحث عن أحدث panic-full-<date> (أو JetsamEvent / ipa-log-<timestamp> لتطبيق تم قتله) ← شارك / AirDrop / انسخ الجزء الأخير.

الأسطر الأولى بعد "panic(cpu ...)" تُظهر دالة النواة التي انهارت — أرسِل هذه الأسطر إلينا.