CVE-2026-86950: CoreGraphics Integer Overflow

Exploit-Framework für CVE-2026-86950, einen kritischen Integer-Overflow im Anti-Aliasing-Rasterizer von Apples CoreGraphics, der iOS 26.7 und macOS 26.7 betrifft.

Schwachstelle

Integer-Overflow in aa_double_to_fixed() während des Font-Renderings löst einen Out-of-Bounds-Heap-Write über korrumpierte Bounding-Box-Berechnungen aus. Ausnutzbar über bösartige TrueType-Fonts in PDFs.

• CVSS: 9.6 (Kritisch)
• Status: Behoben in iOS/macOS 26.7.1+
• Übermittlung: PDF mit eingebettetem Font (WhatsApp, iMessage, Preview.app)

Dateien

Exploit-Framework

• exploit_full.py — macOS-Exploit-Generator (Font + PDF + ROP-Chain)
• exploit_ios.py — iOS-Variante (reduzierte Komplexität, 5-stufige Skalierung)
• leak_extractor.py — Crash-Dumps parsen, ASLR-Bypass-Berechnung
• rop_builder.py — Konstruktion der ARM64-ROP-Gadget-Chain

Artefakte

• CVE-2026-86950_ArXiv.pdf — Vollständiges technisches Paper (20 Seiten, peer-review-bereit)
• exploit.ttf / ios_exploit.ttf — Bösartige Fonts (Composite-Glyph-Verkettung)
• exploit.pdf / ios_exploit.pdf — Trigger-PDFs mit eingebetteten Fonts
• cve_2026_86950_payload.bin — ARM64-ROP-Chain-Binärdatei

Dokumentation

• ACADEMIC_PAPER.md — Markdown-Quelle des Forschungs-Papers
• ATTRIBUTION.md — Autorennennungen und Referenzen
• QUICK_START.txt — 5-Minuten-Einrichtungsanleitung
• Makefile — Build-Konfiguration
• run_exploit.sh — Automatisierte 6-stufige Pipeline

Schnellstart

macOS-Artefakte generieren

python3 exploit_full.py .
# Outputs: exploit.ttf, exploit.pdf, Makefile

iOS-Artefakte generieren

python3 exploit_ios.py .
# Outputs: ios_exploit.ttf, ios_exploit.pdf, ios_payload.bin

ASLR-Leak extrahieren

python3 leak_extractor.py crash.log
# Parse lldb output, calculate library bases

ROP-Kette erstellen

python3 rop_builder.py 0x0000000192200000
# Generate: cve_2026_86950_payload.bin

Vollständige Pipeline ausführen (macOS)

make -C . all
make -C . run  # Requires lldb debugger

Exploit-Phasen

1. Font-Erstellung — Bösartige TrueType-Schriftart mit zusammengesetzter Glyphen-Skalierung erzeugen (1,99994^7 ≈ 127x)
2. PDF-Einbettung — Schriftart einbetten, 256 Heap-Spray-Glyphen rendern
3. Auslösung — CGImageSourceCreateThumbnailAtIndex() aufrufen → Absturz mit OOB-Schreibzugriff
4. Leak-Extraktion — Crash-Dump analysieren, Registerwerte extrahieren → ASLR-Umgehung (theoretisch)
5. Heap-Korruption — Payload erstellen, um malloc-Metadaten zu korrumpieren (theoretisch)
6. Code-Ausführung — ARM64-ROP-Kette zur Shell-Ausführung (theoretisch)

Phasen 4-6 erfordern echte Gadget-Entdeckung mittels Ghidra/IDA Pro auf CoreGraphics-Binärdateien.

Technische Details

Der Fehler

int32_t aa_double_to_fixed(double px) {
    double v = 0.5 + 4096.0 * px;  // No overflow check
    return (int32_t)v;               // Cast overflow
}

Überlauf, wenn px > 524.288 Pixel. ARM64-Differenzial: FCVTZS sättigt auf INT32_MAX, aber der Vektor XTN schneidet ab → Bounding-Box-Inversion → zu klein dimensionierte Heap-Allokation.

Ausnutzungspfad

1. 7 Ebenen zusammengesetzter Glyphen-Skalierung stapeln → 127-fache Vergrößerung
2. Überlauf in aa_double_to_fixed() in der Rendering-Pipeline auslösen
3. Korrupte Bounding-Box verursacht zu klein dimensionierte Allokation des Coverage-Puffers
4. Über die Heap-Grenzen hinausschreiben, benachbarte malloc-Metadaten korrumpieren
5. Korrumpierten Zeiger nutzen, um die Kontrollflussübernahme zu kapern → ROP-Kette → Codeausführung

Plattformunterschiede

	macOS	iOS
Zustellung	Direktes PDF	PDF-Anhang (Messages/WhatsApp)
Prozess	Preview.app	ImageIO-Daemon (sandboxed)
Skalierungsebenen	7	5 (Speicherlimit)
Berechtigung	Benutzer	Daemon (Sandbox-Escape erforderlich)

Umfang & Einschränkungen

✅ Umfasst:

• Schwachstellenanalyse & Ursachenforschung
• Font-Erstellung mit Überlauf-Triggern
• PDF-Einbettung & Heap-Grooming
• Parsen von Crash-Dumps & ASLR-Konzepte
• Vollständige technische Dokumentation

⚠️ Erfordert externe Recherche:

• Reale Gadget-Entdeckung (Stufen 4-6) — Binäranalyse + versionsspezifische Offsets
• iOS-Sandbox-Escape — Verkettung mit zusätzlichen CVEs
• Gerätevalidierung — Testen auf echter Hardware/Simulator

Verantwortungsvolle Offenlegung

Die Forschung wird bereitgestellt für:

• ✅ Bildungszwecke
• ✅ Autorisierte Sicherheitstests & Pentesting
• ✅ Akademische Schwachstellenanalyse

Unbefugte Ausnutzung ist illegal.

Referenzen

• Apple Security Advisory - CVE-2026-86950
• The Hacker News - Apple CoreGraphics PoC

---

Autor: 34zY
Datum: Oktober 2026
Status: Gepatcht, Bildungs-Framework

Haftungsausschluss: Dieses Projekt ist ausschließlich für autorisierte Sicherheitstests gedacht. Unbefugter Zugriff auf Computersysteme ist illegal.