Analyse de CVE-2025-14174 : Écriture hors limites du tampon de staging ANGLE Metal

Analyse technique et preuve de concept pour CVE-2025-14174


CVE	CVE-2025-14174
Sévérité	Élevé
Exploité ITW	Oui – attaques ciblées sur iOS < 26
Affecté	iOS Safari, macOS Chrome/Chromium/Electron (pas macOS Safari)
Statut	Corrigé dans le commit ANGLE 95a32cb
Crédit	Apple, Google Threat Analysis Group

Exploitation dans la nature

Selon Apple, CVE-2025-14174 a été exploitée dans le cadre d'une « attaque extrêmement sophistiquée contre des individus spécifiquement ciblés » sur les versions d'iOS antérieures à iOS 26.

La chaîne d'attaque incluait :

CVE-2025-14174 (ce document) – Écriture OOB dans ANGLE Metal
CVE-2025-43529 (WebKit Bug 302502) – Use-after-free dans WebKit

Résumé

Une vulnérabilité d'écriture hors limites (OOB) existe dans le backend Metal d'ANGLE lors du téléchargement de textures de profondeur via un tampon de staging. La taille du tampon de staging est calculée en utilisant GL_UNPACK_IMAGE_HEIGHT au lieu de la hauteur réelle de la texture. Lorsque UNPACK_IMAGE_HEIGHT < height, ANGLE alloue un tampon trop petit puis y écrit height lignes, provoquant une corruption de mémoire GPU dans le processus de rendu.

Plateformes affectées

Cette vulnérabilité affecte les applications utilisant le backend Metal d'ANGLE pour WebGL :

Plateforme	Logiciel	Affecté	Remarques
iOS	Safari	Oui	WebKit sur iOS utilise ANGLE Metal pour WebGL
macOS	Chrome / Chromium	Oui	Utilise le backend Metal d'ANGLE
macOS	Applications Electron	Oui	Utilise l'implémentation ANGLE de Chromium
macOS	Safari	Non	Utilise le WebGL Metal natif de WebKit, pas ANGLE

Détails par plateforme

iOS Safari est affecté. Sous iOS, WebKit utilise ANGLE comme backend WebGL, ce qui rend Safari sur iPhone et iPad vulnérable.

macOS Safari n'est PAS affecté. Sous macOS, Safari utilise sa propre implémentation WebGL native qui interface directement avec Metal, contournant complètement ANGLE.

macOS Chrome est affecté. Google Chrome fonctionnant sous macOS 26.1 s'est avéré vulnérable lors des tests, car il utilise le backend Metal d'ANGLE pour WebGL.

Le chemin de code vulnérable existe dans la classe TextureMtl d'ANGLE (setSubImageImpl / setPerSliceSubImage / SaturateDepth).

Impact

Sévérité	Description
Confirmé	Écriture GPU/backend Metal au-delà de la fin du tampon de staging
Confirmé	Reproductible via WebGL2 + PBO + DEPTH_COMPONENT32F
Plausible	Crash du processus GPU ou perte de contexte sous pression mémoire
Théorique	Corruption inter-ressources dans la mémoire GPU (non démontrée)

Caractéristiques clés :

Le bogue est silencieux en WebGL (généralement retourne NO_ERROR)
Aucun artefact de rendu visible dans la plupart des cas
Les couches de validation Metal peuvent ne pas détecter le dépassement
Potentiel d'instabilité du processus GPU ou d'exploitation selon la disposition du tas

Cause racine

Dans le chemin de téléchargement de texture de profondeur D32F, ANGLE calcule pixelsDepthPitch à partir de GL_UNPACK_IMAGE_HEIGHT et utilise cette valeur pour dimensionner le MTLBuffer de staging. Cependant, la dispatch de calcul ultérieure (saturation de profondeur) utilise la hauteur réelle de la texture pour l'opération, provoquant une écriture OOB lorsque les paramètres diffèrent.

Exemple de différence de taille

Pour width=1, height=512, UNPACK_IMAGE_HEIGHT=128, DEPTH_COMPONENT32F :

Paramètre	Calcul	Valeur
Pas de ligne	`width * sizeof(float)`	4 octets
Tampon de staging (alloué)	`rowPitch * UNPACK_IMAGE_HEIGHT`	512 octets
Dispatch de calcul (écrit)	`rowPitch * actualHeight`	2048 octets
Écriture OOB	`2048 - 512`	1536 octets

Conditions de déclenchement

Toutes les conditions suivantes doivent être réunies :

Contexte WebGL2 (nécessaire pour le support PBO)
Format de texture de profondeur DEPTH_COMPONENT32F (vérifié ; d'autres formats de profondeur peuvent également être affectés mais non testés)
Objet tampon de pixels (PBO) lié à PIXEL_UNPACK_BUFFER
GL_UNPACK_IMAGE_HEIGHT défini à une valeur inférieure à la hauteur réelle de la texture
Backend Metal ANGLE actif (iOS Safari, ou Chrome/Chromium/Electron sur macOS)

Pourquoi WebGL ne bloque pas cela

GL_UNPACK_IMAGE_HEIGHT est défini par la spécification GL pour affecter les téléchargements de textures 3D/en tableau, pas les textures 2D. Pour TEXTURE_2D :

Le paramètre est accepté mais ne participe pas à la validation WebGL
WebGL ne rejette pas UNPACK_IMAGE_HEIGHT < height pour les textures 2D
ANGLE utilise incorrectement ce paramètre pour dimensionner le tampon de staging pour les téléchargements de profondeur

Analyse technique

Chaîne d'appel vulnérable

API WebGL
├── gl.pixelStorei(UNPACK_IMAGE_HEIGHT, small_value)
├── gl.bindBuffer(PIXEL_UNPACK_BUFFER, pbo)
└── gl.texImage2D(TEXTURE_2D, 0, DEPTH_COMPONENT32F, w, h, ...)
    │
    ▼
ANGLE (Backend Metal)
├── TextureMtl::setImageImpl
│   └── TextureMtl::setSubImageImpl
│       └── Calcule pixelsDepthPitch = rowPitch × UNPACK_IMAGE_HEIGHT
│
├── TextureMtl::setPerSliceSubImage
│   └── mtl::Buffer::MakeBufferWithStorageMode(context, 0, pixelsDepthPitch, ...)  ← SOUS-DIMENSIONNÉ
│
└── SaturateDepth
    ├── getComputeCommandEncoder()
    ├── setBuffer(stagingBuffer, index=2)
    └── dispatchThreads(MTLSize{width, actualHeight})  ← UTILISE LA HAUTEUR RÉELLE

Preuve binaire (iOS 26.1)

Fonction	Adresse	Rôle
`setSubImageImpl`	`0x272fa9028`	Calcule le `depthPitch` sous-dimensionné
`setPerSliceSubImage`	`0x272fac240`	Alloue le tampon de staging sous-dimensionné
`MakeBufferWithStorageMode`	`0x272ef19bc`	Crée MTLBuffer avec une taille erronée
`SaturateDepth`	`0x272facfa4`	Dispatch de calcul avec les dimensions réelles

; setSubImageImpl - compute undersized depthPitch
0x272fa90f4: ldr  w8, [x25, #0x10]     ; load UNPACK_IMAGE_HEIGHT
0x272fa9100: umull x3, w2, w8          ; depthPitch = rowPitch * UNPACK_IMAGE_HEIGHT

; setPerSliceSubImage - call MakeBufferWithStorageMode with undersized depthPitch
0x272fac5bc: mov  x2, x19              ; x2 = size (undersized depthPitch)
0x272fac5c4: bl   #0x272ef19bc         ; call MakeBufferWithStorageMode

Preuve binaire (macOS 26.1)

Fonction	Adresse	Rôle
`setSubImageImpl`	`0x22c6d10f4`	Calcule le `depthPitch` sous-dimensionné
`setPerSliceSubImage`	`0x22c6d4398`	Alloue le tampon de staging sous-dimensionné
`MakeBufferWithStorageMode`	`0x22c619490`	Crée MTLBuffer avec une taille erronée
`SaturateDepth`	`0x22c6d5144`	Dispatch de calcul avec les dimensions réelles

; setSubImageImpl - compute undersized depthPitch
0x22c6d11c0: ldr  w8, [x25, #0x10]     ; load UNPACK_IMAGE_HEIGHT
0x22c6d11cc: umull x3, w2, w8          ; depthPitch = rowPitch * UNPACK_IMAGE_HEIGHT

Populaires

CVE-2025-14174-analysis