CVE-2026-86950 : Débordement d'entier dans CoreGraphics

Framework d'exploitation pour CVE-2026-86950, un débordement d'entier critique dans le rastériseur d'anti-aliasing CoreGraphics d'Apple affectant iOS 26.7 et macOS 26.7.

Vulnérabilité

Un débordement d'entier dans aa_double_to_fixed() lors du rendu de polices déclenche une écriture hors limites dans le tas via des calculs de boîte englobante corrompus. Exploitable au moyen de polices TrueType malveillantes intégrées dans des PDF.

• CVSS : 9.6 (Critique)
• Statut : Corrigé dans iOS/macOS 26.7.1+
• Vecteur de livraison : PDF avec police intégrée (WhatsApp, iMessage, Preview.app)

Fichiers

Framework d'exploitation

• exploit_full.py — Générateur d'exploit macOS (police + PDF + chaîne ROP)
• exploit_ios.py — Variante iOS (complexité réduite, mise à l'échelle à 5 niveaux)
• leak_extractor.py — Analyse des vidages de plantage, calcul de contournement de l'ASLR
• rop_builder.py — Construction de chaîne de gadgets ROP ARM64

Artefacts

• CVE-2026-86950_ArXiv.pdf — Article technique complet (20 pages, prêt pour évaluation par les pairs)
• exploit.ttf / ios_exploit.ttf — Polices malveillantes (chaînage de glyphes composites)
• exploit.pdf / ios_exploit.pdf — PDF déclencheurs avec polices intégrées
• cve_2026_86950_payload.bin — Binaire de chaîne ROP ARM64

Documentation

• ACADEMIC_PAPER.md — Source Markdown de l'article de recherche
• ATTRIBUTION.md — Crédits des auteurs et références
• QUICK_START.txt — Guide de configuration en 5 minutes
• Makefile — Configuration de compilation
• run_exploit.sh — Pipeline automatisé en 6 étapes

Démarrage rapide

Générer les artefacts macOS

python3 exploit_full.py .
# Outputs: exploit.ttf, exploit.pdf, Makefile

Générer des artefacts iOS

python3 exploit_ios.py .
# Outputs: ios_exploit.ttf, ios_exploit.pdf, ios_payload.bin

Extraire la fuite ASLR

python3 leak_extractor.py crash.log
# Parse lldb output, calculate library bases

Construire une chaîne ROP

python3 rop_builder.py 0x0000000192200000
# Generate: cve_2026_86950_payload.bin

Exécuter le pipeline complet (macOS)

make -C . all
make -C . run  # Requires lldb debugger

Étapes d'exploitation

1. Création de la police — Générer une police TrueType malveillante avec mise à l'échelle de glyphes composites (1,99994^7 ≈ 127x)
2. Intégration dans le PDF — Intégrer la police, rendre 256 glyphes de heap-spray
3. Déclenchement — Invoquer CGImageSourceCreateThumbnailAtIndex() → plantage avec écriture hors limites
4. Extraction de fuite — Analyser le vidage de plantage, extraire les valeurs de registres → contournement de l'ASLR (théorique)
5. Corruption du tas — Concevoir une charge utile pour corrompre les métadonnées de malloc (théorique)
6. Exécution de code — Chaîne ROP ARM64 pour l'exécution d'un shell (théorique)

Les étapes 4 à 6 nécessitent une découverte réelle de gadgets via Ghidra/IDA Pro sur les binaires CoreGraphics.

Détails techniques

La faille

int32_t aa_double_to_fixed(double px) {
    double v = 0.5 + 4096.0 * px;  // No overflow check
    return (int32_t)v;               // Cast overflow
}

Débordement lorsque px > 524 288 pixels. Différence ARM64 : FCVTZS sature à INT32_MAX, mais le vecteur XTN tronque → inversion de la boîte englobante → allocation de tas sous-dimensionnée.

Chemin d'exploitation

1. Empiler 7 niveaux de mise à l'échelle de glyphes composites → grossissement 127x
2. Déclencher le débordement de aa_double_to_fixed() dans le pipeline de rendu
3. Une bbox corrompue provoque une allocation de tampon de couverture sous-dimensionnée
4. Écrire au-delà des limites du tas, corrompre les métadonnées malloc adjacentes
5. Utiliser le pointeur corrompu pour détourner le flux de contrôle → chaîne ROP → exécution de code

Différences entre plateformes

	macOS	iOS
Vecteur	PDF direct	Pièce jointe PDF (Messages/WhatsApp)
Processus	Preview.app	Démon ImageIO (sandboxé)
Niveaux de mise à l'échelle	7	5 (limite mémoire)
Privilège	Utilisateur	Démon (évasion de sandbox nécessaire)

Périmètre et limitations

✅ Couvre :

• Analyse de la vulnérabilité et cause racine
• Fabrication de polices avec déclencheurs de débordement
• Intégration PDF et heap grooming
• Analyse de crash dump et concepts d'ASLR
• Documentation technique complète

⚠️ Nécessite des recherches externes :

• Découverte de gadgets réels (étapes 4-6) — analyse binaire + offsets spécifiques à la version
• Évasion de sandbox iOS — chaînage avec des CVE supplémentaires
• Validation sur appareil — tests sur matériel réel/simulateur

Divulgation responsable

Recherche fournie à des fins de :

• ✅ Éducation
• ✅ Tests de sécurité et pentesting autorisés
• ✅ Analyse académique de vulnérabilités

L'exploitation non autorisée est illégale.

Références

• Apple Security Advisory - CVE-2026-86950
• The Hacker News - Apple CoreGraphics PoC

---

Auteur : 34zY
Date : Octobre 2026
Statut : Corrigé, framework éducatif

Avertissement : Ce projet est destiné uniquement à des tests de sécurité autorisés. L'accès non autorisé à des systèmes informatiques est illégal.