CVE-2026-86950: Integer Overflow in CoreGraphics

Framework di sfruttamento per CVE-2026-86950, un overflow di interi critico nel rasterizzatore anti-aliasing CoreGraphics di Apple che interessa iOS 26.7 e macOS 26.7.

Vulnerabilità

L'overflow di interi in aa_double_to_fixed() durante il rendering dei font provoca una scrittura out-of-bounds nell'heap tramite calcoli corrotti del bounding box. Sfruttabile tramite font TrueType malevoli nei PDF.

• CVSS: 9.6 (Critico)
• Stato: Corretto in iOS/macOS 26.7.1+
• Vettore di consegna: PDF con font incorporato (WhatsApp, iMessage, Preview.app)

File

Framework di sfruttamento

• exploit_full.py — generatore di exploit per macOS (font + PDF + catena ROP)
• exploit_ios.py — variante per iOS (complessità ridotta, scaling a 5 livelli)
• leak_extractor.py — analizza i crash dump, calcolo del bypass ASLR
• rop_builder.py — costruzione della catena di gadget ROP per ARM64

Artefatti

• CVE-2026-86950_ArXiv.pdf — paper tecnico completo (20 pagine, pronto per la peer review)
• exploit.ttf / ios_exploit.ttf — font malevoli (concatenamento di glifi compositi)
• exploit.pdf / ios_exploit.pdf — PDF di trigger con font incorporati
• cve_2026_86950_payload.bin — binario della catena ROP per ARM64

Documentazione

• ACADEMIC_PAPER.md — sorgente Markdown del paper di ricerca
• ATTRIBUTION.md — crediti degli autori e riferimenti
• QUICK_START.txt — guida alla configurazione in 5 minuti
• Makefile — configurazione di build
• run_exploit.sh — pipeline automatizzata a 6 fasi

Avvio rapido

Generazione degli artefatti per macOS

python3 exploit_full.py .
# Outputs: exploit.ttf, exploit.pdf, Makefile

Genera artefatti iOS

python3 exploit_ios.py .
# Outputs: ios_exploit.ttf, ios_exploit.pdf, ios_payload.bin

Estrazione del leak ASLR

python3 leak_extractor.py crash.log
# Parse lldb output, calculate library bases

Costruire una ROP Chain

python3 rop_builder.py 0x0000000192200000
# Generate: cve_2026_86950_payload.bin

Esegui la pipeline completa (macOS)

make -C . all
make -C . run  # Requires lldb debugger

Fasi di Sfruttamento

1. Creazione del Font — Genera un TrueType malevolo con scaling di glifi compositi (1.99994^7 ≈ 127x)
2. Incorporamento nel PDF — Incorpora il font, renderizza 256 glifi per heap-spray
3. Trigger — Invoca CGImageSourceCreateThumbnailAtIndex() → crash con scrittura OOB
4. Estrazione del Leak — Analizza il crash dump, estrae i valori dei registri → bypass ASLR (teorico)
5. Corruzione dell'Heap — Crea un payload per corrompere i metadati di malloc (teorico)
6. Esecuzione di Codice — Catena ROP ARM64 per l'esecuzione di una shell (teorico)

Le fasi 4-6 richiedono una reale scoperta di gadget tramite Ghidra/IDA Pro sui binari di CoreGraphics.

Dettagli Tecnici

La Vulnerabilità

int32_t aa_double_to_fixed(double px) {
    double v = 0.5 + 4096.0 * px;  // No overflow check
    return (int32_t)v;               // Cast overflow
}

Overflow quando px > 524.288 pixel. Differenza ARM64: FCVTZS satura a INT32_MAX, ma il vettore XTN tronca → inversione del bounding box → allocazione heap di dimensioni insufficienti.

Percorso di sfruttamento

1. Impilare 7 livelli di scaling di glifi compositi → ingrandimento 127x
2. Attivare l'overflow di aa_double_to_fixed() nella pipeline di rendering
3. Il bbox corrotto causa un'allocazione del buffer di copertura di dimensioni insufficienti
4. Scrivere oltre i limiti dell'heap, corrompere i metadati malloc adiacenti
5. Usare il puntatore corrotto per dirottare il flusso di controllo → catena ROP → esecuzione di codice

Differenze tra piattaforme

	macOS	iOS
Vettore	PDF diretto	Allegato PDF (Messages/WhatsApp)
Processo	Preview.app	Daemon ImageIO (sandboxed)
Livelli di scaling	7	5 (limite di memoria)
Privilegi	Utente	Daemon (necessaria evasione dalla sandbox)

Ambito e limitazioni

✅ Copre:

• Analisi della vulnerabilità e causa radice
• Creazione di font con trigger di overflow
• Incorporamento nel PDF e heap grooming
• Analisi dei crash dump e concetti di ASLR
• Documentazione tecnica completa

⚠️ Richiede ricerca esterna:

• Scoperta di gadget reali (Fasi 4-6) — analisi binaria + offset specifici per versione
• Evasione dalla sandbox iOS — concatenamento con CVE aggiuntive
• Validazione su dispositivo — test su hardware reale/simulatore

Divulgazione responsabile

Ricerca fornita per:

• ✅ Scopi educativi
• ✅ Test di sicurezza e pentesting autorizzati
• ✅ Analisi accademica delle vulnerabilità

Lo sfruttamento non autorizzato è illegale.

Riferimenti

• Apple Security Advisory - CVE-2026-86950
• The Hacker News - Apple CoreGraphics PoC

---

Autore: 34zY
Data: Ottobre 2026
Stato: Corretto, framework educativo

Disclaimer: Questo progetto è destinato esclusivamente a test di sicurezza autorizzati. L'accesso non autorizzato a sistemi informatici è illegale.