CVE-2026-86950: Desbordamiento de entero en CoreGraphics

Framework de explotación para CVE-2026-86950, un desbordamiento de entero crítico en el rasterizador de suavizado de bordes (anti-aliasing) CoreGraphics de Apple que afecta a iOS 26.7 y macOS 26.7.

Vulnerabilidad

El desbordamiento de entero en aa_double_to_fixed() durante el renderizado de fuentes provoca una escritura fuera de límites en el heap mediante cálculos de bounding box corruptos. Explotable a través de fuentes TrueType maliciosas en PDFs.

• CVSS: 9.6 (Crítico)
• Estado: Parcheado en iOS/macOS 26.7.1+
• Entrega: PDF con fuente incrustada (WhatsApp, iMessage, Preview.app)

Archivos

Framework de explotación

• exploit_full.py — Generador de exploits para macOS (fuente + PDF + cadena ROP)
• exploit_ios.py — Variante para iOS (complejidad reducida, escalado de 5 niveles)
• leak_extractor.py — Analiza volcados de fallos, cálculo de bypass de ASLR
• rop_builder.py — Construcción de cadena de gadgets ROP para ARM64

Artefactos

• CVE-2026-86950_ArXiv.pdf — Artículo técnico completo (20 páginas, listo para revisión por pares)
• exploit.ttf / ios_exploit.ttf — Fuentes maliciosas (encadenamiento de glifos compuestos)
• exploit.pdf / ios_exploit.pdf — PDFs de activación con fuentes incrustadas
• cve_2026_86950_payload.bin — Binario de cadena ROP para ARM64

Documentación

• ACADEMIC_PAPER.md — Fuente Markdown del artículo de investigación
• ATTRIBUTION.md — Créditos de autoría y referencias
• QUICK_START.txt — Guía de configuración en 5 minutos
• Makefile — Configuración de compilación
• run_exploit.sh — Pipeline automatizado de 6 etapas

Inicio rápido

Generar artefactos para macOS

python3 exploit_full.py .
# Outputs: exploit.ttf, exploit.pdf, Makefile

Generar artefactos de iOS

python3 exploit_ios.py .
# Outputs: ios_exploit.ttf, ios_exploit.pdf, ios_payload.bin

Extraer fuga de ASLR

python3 leak_extractor.py crash.log
# Parse lldb output, calculate library bases

Construir una cadena ROP

python3 rop_builder.py 0x0000000192200000
# Generate: cve_2026_86950_payload.bin

Ejecutar la canalización completa (macOS)

make -C . all
make -C . run  # Requires lldb debugger

Etapas de explotación

1. Creación de la fuente — Generar una fuente TrueType maliciosa con escalado de glifos compuestos (1.99994^7 ≈ 127x)
2. Incrustación en PDF — Incrustar la fuente, renderizar 256 glifos de heap-spray
3. Disparo — Invocar CGImageSourceCreateThumbnailAtIndex() → fallo con escritura OOB
4. Extracción de fugas — Analizar el volcado de fallo, extraer valores de registros → omisión de ASLR (teórico)
5. Corrupción del heap — Elaborar una carga útil para corromper los metadatos de malloc (teórico)
6. Ejecución de código — Cadena ROP para ARM64 para ejecución de shell (teórico)

Las etapas 4-6 requieren el descubrimiento de gadgets reales mediante Ghidra/IDA Pro sobre los binarios de CoreGraphics.

Detalles técnicos

El fallo

int32_t aa_double_to_fixed(double px) {
    double v = 0.5 + 4096.0 * px;  // No overflow check
    return (int32_t)v;               // Cast overflow
}

Desbordamiento cuando px > 524,288 píxeles. Diferencial en ARM64: FCVTZS satura a INT32_MAX, pero el vector XTN trunca → inversión del cuadro delimitador → asignación de heap de tamaño insuficiente.

Ruta de explotación

1. Apilar 7 niveles de escalado de glifos compuestos → aumento de 127x
2. Activar el desbordamiento de aa_double_to_fixed() en el pipeline de renderizado
3. El bbox corrupto provoca una asignación de búfer de cobertura de tamaño insuficiente
4. Escribir más allá de los límites del heap, corromper los metadatos de malloc adyacentes
5. Usar el puntero corrupto para secuestrar el flujo de control → cadena ROP → ejecución de código

Diferencias entre plataformas

	macOS	iOS
Entrega	PDF directo	Adjunto PDF (Messages/WhatsApp)
Proceso	Preview.app	Demonio ImageIO (en sandbox)
Niveles de escalado	7	5 (límite de memoria)
Privilegio	Usuario	Demonio (se requiere escape del sandbox)

Alcance y limitaciones

✅ Cubre:

• Análisis de la vulnerabilidad y causa raíz
• Creación de fuentes con activadores de desbordamiento
• Inserción en PDF y heap grooming
• Análisis de volcados de fallos y conceptos de ASLR
• Documentación técnica completa

⚠️ Requiere investigación externa:

• Descubrimiento de gadgets reales (Etapas 4-6) — análisis binario + offsets específicos de versión
• Escape del sandbox de iOS — encadenamiento con CVE adicionales
• Validación en dispositivos — pruebas en hardware real/simulador

Divulgación responsable

Investigación proporcionada para:

• ✅ Fines educativos
• ✅ Pruebas de seguridad y pentesting autorizados
• ✅ Análisis académico de vulnerabilidades

La explotación no autorizada es ilegal.

Referencias

• Apple Security Advisory - CVE-2026-86950
• The Hacker News - Apple CoreGraphics PoC

---

Autor: 34zY
Fecha: Octubre de 2026
Estado: Parcheado, framework educativo

Descargo de responsabilidad: Este proyecto es solo para pruebas de seguridad autorizadas. El acceso no autorizado a sistemas informáticos es ilegal.