AGXProbe — CVE-2026-64747 ट्रिगर प्रोब

लक्ष्य: iPhone 13 (A15) iOS 26.5.2 पर। यह ऐप AGXG14P GPU कमांड-क्यू पथों को प्रहार करता है जो संभवतः प्रति-क्यू काउंट बिटमास्क को फीड करते हैं (count >= 0x400 → OOB 0x40-बाइट स्लॉट राइट → कर्नेल हीप भ्रष्टाचार)।

हम क्या जानते हैं (रिवर्स किया गया, 2026-08-10)

• कमजोर फ़ंक्शन 0xfffffff008003a8c (26.5.2): x1 = 32-बिट काउंट मास्क। प्रत्येक सेट बिट n के लिए यह एक 0x40-बाइट फिक्स्ड टेम्पलेट (00 00 00 00 + FF×60) को obj+0x1040+n*0x40 और obj+0x1540+n*0x40 में कॉपी करता है। 26.6 फिक्स: count >= 0x400 (यानी कोई भी बिट ≥ 10) अस्वीकार करें। वैध स्लॉट 0..9।
• मास्क प्रत्येक कमांड के [cmd+0x14] फ़ील्ड से सबमिट किए गए बैच में OR-संचित होता है (रैपर 0xfffffff00800c9d0)। बैच स्लॉट ऐरे (10 स्लॉट × 0x40) ऑब्जेक्ट ऑफसेट 0x1040 / 0x1540 पर रहते हैं।
• count किसी स्थिर कॉल/लिटरल के माध्यम से पहुंच योग्य नहीं है — फ़ंक्शन रनटाइम-निर्मित डिस्पैच टेबल (इनडायरेक्ट PAC कॉल) के माध्यम से पहुंचा जाता है।
• अज्ञात: कौन सा यूज़रलैंड नॉब [cmd+0x14] (या मास्क) को फीड करता है। यही इस प्रोब का अनुभवजन्य रूप से पता लगाने का प्रयास है।

ट्रिगर परिकल्पना

एक सबमिट किया गया बैच जहाँ किसी कमांड का 0x14 फ़ील्ड (या बैच भर का OR) बिट ≥ 10 सेट करता है। इसलिए यह प्रोब हर संभावित सतह को हाई-बिट मानों से भर देता है: शेयर्ड-इवेंट सिग्नल मान 1<<k (k=0..31), घने मास्क (0x3FF|0x400..0xFFFFFFFF), 256-बफर सिंगल बैच, फेंस, रेंडर + कंप्यूट + ब्लिट, 32 क्यू।

यदि प्रोब बग को ट्रिगर करता है, तो अपेक्षित लक्षण बढ़ती गंभीरता के क्रम में हैं:

1. ऐप को सिस्टम द्वारा रन के बीच में मार दिया जाता है (भ्रष्ट क्यू का यूज़रलैंड-पक्ष प्रभाव)।
2. पूरा डिवाइस रीबूट हो जाता है (लाइव ऑब्जेक्ट से टकराने वाले OOB हीप राइट से कर्नेल पैनिक)। ← सबसे मजबूत संकेत।
3. कुछ नहीं होता (इन APIs के माध्यम से count नियंत्रित नहीं है → अलग ट्रिगर सतह की आवश्यकता है; लॉग वापस रिपोर्ट करें)।

इंस्टॉल — प्रीबिल्ट ipa (CI-निर्मित, अहस्ताक्षरित)

एक तैयार ipa हर पुश पर GitHub Actions द्वारा स्वचालित रूप से बनाया जाता है और नवीनतम रन के build artifacts में डाल दिया जाता है (AGXProbe.ipa)। यह अहस्ताक्षरित है, इसलिए इसे किसी भी मुफ्त-Apple-ID साइडलोडर से इंस्टॉल करें:

• Windows: Sideloadly (या AltStore)। ipa, अपनी Apple ID जोड़ें, Start पर क्लिक करें। ऐप 7 दिनों के लिए इंस्टॉल होता है।
• macOS: Sideloadly या Xcode (नीचे Build देखें)।

वर्तमान ipa: बंडल आईडी com.agxprobe.test, arm64, MinOS 17.0। यदि कोई साइडलोडर बंडल आईडी को अस्वीकार करता है, तो एक अद्वितीय आईडी के साथ फिर से साइन करें।

स्रोत से बिल्ड (Mac की आवश्यकता है — कोई भी Mac, मुफ्त Apple ID ठीक है)

1. AGXProbe.xcodeproj को Xcode (16.x) में खोलें।
2. प्रोजेक्ट में → टारगेट AGXProbe → Signing & Capabilities:
   • Automatically manage signing चेक करें,
   • अपनी Team चुनें (आपकी मुफ्त Apple ID / व्यक्तिगत टीम),
   • PRODUCT_BUNDLE_IDENTIFIER (जैसे com.you.agxprobe1) को कुछ भी अद्वितीय बदलें ताकि साइनिंग सफल हो।
3. iPhone 13 (iOS 26.5.2) कनेक्ट करें, इसे रन डेस्टिनेशन के रूप में चुनें (Device, सिम्युलेटर नहीं)।
4. Cmd-R दबाएं। यदि आपको "preferred signer" / प्रोविज़निंग त्रुटि मिलती है, तो संकेत मिलने पर डिवाइस पर Enable Development पर क्लिक करें, फिर पुनः प्रयास करें।

रन

1. ऐप लॉन्च करें। यह स्क्रीन पर GPU डिवाइस का नाम प्रिंट करता है — पुष्टि करें कि यह A15 GPU (जैसे "Apple A15 GPU") दिखाता है न कि सिम्युलेटर।
2. START दबाएं। हरे कंसोल लॉग को देखें।
3. चरण हर 200 पुनरावृत्तियों पर स्वचालित रूप से चक्रित होते हैं: eventStorm → inFlight → fenceStorm → multiQueue → computeHeavy → chainedEvents → mixed → (repeat)।
4. इसे कई मिनट चलने दें। डिवाइस को जागृत रखें (ऑटो-लॉक अक्षम करें: Settings → Display & Brightness → Auto-Lock → Never)।

परिणाम पढ़ना

• डिवाइस अपने आप रीबूट होता है → प्रोब ने OOB को ट्रिगर किया। अब पैनिक लॉग लें (नीचे) — यह ट्रिगर की पुष्टि करता है और हमें क्रैश साइट देता है ताकि हीप फेंग शुई को लक्षित कर सकें।
• ऐप सिस्टम द्वारा मार दिया गया (होम स्क्रीन फ्लैश होती है, "AGXProbe quit") → संभवतः आंशिक हिट; लॉग भी एकत्र करें।
• 5+ मिनट के बाद भी चल रहा है → count संभवतः इन सटीक APIs के माध्यम से पहुंच योग्य नहीं है। डिवाइस पर लॉग सहेजें (agxprobe.log ऐप के Documents में, Files ऐप के माध्यम से सुलभ क्योंकि UIFileSharingEnabled चालू है) और इसे वापस भेजें।

पैनिक लॉग प्राप्त करना

यदि यह पैनिक हुआ: Settings → Privacy & Security → Analytics & Improvements → Analytics Data → नवीनतम panic-full-<date> ढूंढें (या मारे गए ऐप के लिए JetsamEvent / ipa-log-<timestamp>) → Share / AirDrop / अंतिम भाग कॉपी करें।

"panic(cpu ...)" के बाद की पहली पंक्तियाँ क्रैश करने वाले कर्नेल फ़ंक्शन को दिखाती हैं — उन्हें वापस भेजें।