CVE-2026-86950: CoreGraphics 整数オーバーフロー

CVE-2026-86950 のエクスプロイトフレームワーク。これは Apple の CoreGraphics アンチエイリアスラスタライザにおける重大な整数オーバーフローであり、iOS 26.7 および macOS 26.7 に影響します。

脆弱性

フォントレンダリング中の aa_double_to_fixed() における整数オーバーフローが、破損したバウンディングボックス計算を介してヒープの範囲外書き込みを引き起こします。PDF 内の悪意ある TrueType フォントを通じて悪用可能です。

• CVSS: 9.6 (Critical)
• ステータス: iOS/macOS 26.7.1+ で修正済み
• 配信方法: フォントを埋め込んだ PDF (WhatsApp、iMessage、Preview.app)

ファイル

エクスプロイトフレームワーク

• exploit_full.py — macOS エクスプロイトジェネレーター (フォント + PDF + ROP チェーン)
• exploit_ios.py — iOS 版 (複雑さを軽減、5 段階スケーリング)
• leak_extractor.py — クラッシュダンプの解析、ASLR バイパス計算
• rop_builder.py — ARM64 ROP ガジェットチェーンの構築

成果物

• CVE-2026-86950_ArXiv.pdf — 完全な技術論文 (20 ページ、査読対応)
• exploit.ttf / ios_exploit.ttf — 悪意あるフォント (複合グリフチェイニング)
• exploit.pdf / ios_exploit.pdf — フォントを埋め込んだトリガー PDF
• cve_2026_86950_payload.bin — ARM64 ROP チェーンバイナリ

ドキュメント

• ACADEMIC_PAPER.md — 研究論文の Markdown ソース
• ATTRIBUTION.md — 著者のクレジットと参考文献
• QUICK_START.txt — 5 分でできるセットアップガイド
• Makefile — ビルド設定
• run_exploit.sh — 自動化された 6 段階パイプライン

クイックスタート

macOS 成果物の生成

python3 exploit_full.py .
# Outputs: exploit.ttf, exploit.pdf, Makefile

iOS アーティファクトの生成

python3 exploit_ios.py .
# Outputs: ios_exploit.ttf, ios_exploit.pdf, ios_payload.bin

ASLR リークの抽出

python3 leak_extractor.py crash.log
# Parse lldb output, calculate library bases

ROP チェーンの構築

python3 rop_builder.py 0x0000000192200000
# Generate: cve_2026_86950_payload.bin

フルパイプラインの実行 (macOS)

make -C . all
make -C . run  # Requires lldb debugger

悪用の段階

1. フォントの作成 — 複合グリフのスケーリング（1.99994^7 ≈ 127倍）を利用した悪意あるTrueTypeを生成
2. PDFへの埋め込み — フォントを埋め込み、256個のヒープスプレー用グリフをレンダリング
3. トリガー — CGImageSourceCreateThumbnailAtIndex() を呼び出し → OOB書き込みでクラッシュ
4. リークの抽出 — クラッシュダンプを解析し、レジスタ値を抽出 → ASLRバイパス（理論上）
5. ヒープ破壊 — mallocメタデータを破壊するペイロードを作成（理論上）
6. コード実行 — シェル実行のためのARM64 ROPチェーン（理論上）

段階4〜6では、CoreGraphicsバイナリに対してGhidra/IDA Proを用いた実際のガジェット探索が必要です。

技術的詳細

欠陥

int32_t aa_double_to_fixed(double px) {
    double v = 0.5 + 4096.0 * px;  // No overflow check
    return (int32_t)v;               // Cast overflow
}

ピクセル数が 524,288 を超えるとオーバーフローします。ARM64 の差分: FCVTZS は INT32_MAX に飽和しますが、ベクター XTN は切り捨てます → バウンディングボックスの反転 → ヒープ割り当てのサイズ不足。

悪用経路

1. 複合グリフのスケーリングを 7 段階積み重ねる → 127 倍の拡大
2. レンダリングパイプラインで aa_double_to_fixed() のオーバーフローを発生させる
3. 破損した bbox により、カバレッジバッファの割り当てがサイズ不足になる
4. ヒープ境界を越えて書き込み、隣接する malloc メタデータを破壊する
5. 破損したポインタを使って制御フローを乗っ取り → ROP チェーン → コード実行

プラットフォームの違い

	macOS	iOS
配信方法	直接 PDF	PDF 添付ファイル (Messages/WhatsApp)
プロセス	Preview.app	ImageIO デーモン (サンドボックス化)
スケーリング段階	7	5 (メモリ制限)
権限	ユーザー	デーモン (サンドボックスエスケープが必要)

対象範囲と制限事項

✅ 対象:

• 脆弱性の分析と根本原因
• オーバーフロートリガーを備えたフォントの作成
• PDF への埋め込みとヒープグルーミング
• クラッシュダンプの解析と ASLR の概念
• 完全な技術ドキュメント

⚠️ 外部調査が必要:

• 実際のガジェット探索 (ステージ 4〜6) — バイナリ解析 + バージョン固有のオフセット
• iOS サンドボックスエスケープ — 追加の CVE との連鎖
• デバイスでの検証 — 実機/シミュレータでのテスト

責任ある開示

本研究は以下を目的として提供されています:

• ✅ 教育目的
• ✅ 許可されたセキュリティテストおよびペネトレーションテスト
• ✅ 学術的な脆弱性分析

無許可の悪用は違法です。

参考文献

• Apple Security Advisory - CVE-2026-86950
• The Hacker News - Apple CoreGraphics PoC

---

作者: 34zY
日付: 2026年10月
ステータス: 修正済み、教育用フレームワーク

免責事項: 本プロジェクトは許可されたセキュリティテスト専用です。コンピュータシステムへの無許可のアクセスは違法です。