CVE-2026-20687: AppleJPEGDriver startDecoder() टाइमआउट UAF (विलंबित पैनिक)

CVE-2026-20687 | लेखक: Johnny Franks (@zeroxjf)

घटक: Kernel

प्रभाव: एक ऐप अप्रत्याशित सिस्टम समाप्ति का कारण बन सकता है या kernel मेमोरी लिख सकता है

विवरण: बेहतर मेमोरी प्रबंधन के साथ एक use after free समस्या का समाधान किया गया।

— Apple Security Content, iOS 26.4 और iPadOS 26.4

यह आपके डिवाइस को kernel panic कर देगा। अपना काम सहेज लें।

iOS 26.3 (23D125) पर iPhone18,2 (iPhone 17 Pro Max, A19 Pro) पर परीक्षण किया गया।

ट्रिगर

प्रत्यक्ष ट्रिगर:

1. PoC चलाएँ और Panic टैप करें (ड्राइवर को प्राइम करता है / async कार्य को कतारबद्ध करता है)।
2. फिर Camera खोलें (यह प्रभावित बिल्ड पर विश्वसनीय रूप से एक sync JPEG डिकोड + टाइमआउट का कारण बनता है)।
3. टाइमआउट पथ एक अनुरोध को मुक्त करता है लेकिन उसका एम्बेडेड कतार नोड पॉइंटर per-codec वेक्टर में छोड़ देता है।
4. बाद में एक कतार वॉक स्टेल नोड को डीरेफरेंस करता है और kernel panic हो जाता है (MTE टैग चेक फॉल्ट)।

// PoC: ड्राइवर को प्राइम करता है; पैनिक आमतौर पर Camera खोलने तक विलंबित होता है।
IOServiceOpen("AppleJPEGDriver");
for (int i = 0; i < N; i++) {
  startDecoder_async();                   // queue_io_gated(): vector.push(req + 0x78)
}
IOServiceClose(conn);

// बाद में, Camera खोलने से ट्रिगर होता है:
startDecoder_sync();
  queue_io_gated(): vector.push(req + 0x78);
  wait(10s) -> TIMEOUT;
  pool_free(req);                         // BUG: डीक्यू नहीं करता (req + 0x78)

// और बाद में (finish_io_gated):
fullSpeedRequestExist():
  node_ptr = vector[i];                   // स्टेल: node_ptr == (freed req + 0x78)
  req2 = *(node_ptr + 0x8);              // req+0x80 का UAF रीड -> MTE टैग फॉल्ट -> पैनिक

बिल्ड और रन

1. Xcode में ios-app/Test.xcodeproj खोलें
2. अपना iOS डिवाइस चुनें (सिम्युलेटर उपयोगी नहीं है)
3. बिल्ड करें और चलाएँ
4. Panic बटन टैप करें
5. विलंबित पैनिक ट्रिगर करने के लिए Camera ऐप खोलें