CVE-2026-86950: Integer Overflow no CoreGraphics

Framework de exploração para CVE-2026-86950, um integer overflow crítico no rasterizador de anti-aliasing CoreGraphics da Apple, afetando iOS 26.7 e macOS 26.7.

Vulnerabilidade

Integer overflow em aa_double_to_fixed() durante a renderização de fontes desencadeia uma escrita fora dos limites no heap por meio de cálculos de bounding box corrompidos. Explorável por meio de fontes TrueType maliciosas em PDFs.

• CVSS: 9.6 (Crítico)
• Status: Corrigido no iOS/macOS 26.7.1+
• Entrega: PDF com fonte incorporada (WhatsApp, iMessage, Preview.app)

Arquivos

Framework de Exploração

• exploit_full.py — gerador de exploit para macOS (fonte + PDF + cadeia ROP)
• exploit_ios.py — variante para iOS (complexidade reduzida, escalonamento em 5 níveis)
• leak_extractor.py — analisa crash dumps, cálculo de bypass de ASLR
• rop_builder.py — construção de cadeia de gadgets ROP para ARM64

Artefatos

• CVE-2026-86950_ArXiv.pdf — Artigo técnico completo (20 páginas, pronto para revisão por pares)
• exploit.ttf / ios_exploit.ttf — Fontes maliciosas (encadeamento de glifos compostos)
• exploit.pdf / ios_exploit.pdf — PDFs de disparo com fontes incorporadas
• cve_2026_86950_payload.bin — binário da cadeia ROP para ARM64

Documentação

• ACADEMIC_PAPER.md — fonte Markdown do artigo de pesquisa
• ATTRIBUTION.md — créditos dos autores e referências
• QUICK_START.txt — guia de configuração em 5 minutos
• Makefile — configuração de build
• run_exploit.sh — pipeline automatizado de 6 estágios

Início Rápido

Gerar Artefatos para macOS

python3 exploit_full.py .
# Outputs: exploit.ttf, exploit.pdf, Makefile

Gerar Artefatos iOS

python3 exploit_ios.py .
# Outputs: ios_exploit.ttf, ios_exploit.pdf, ios_payload.bin

Extrair Vazamento de ASLR

python3 leak_extractor.py crash.log
# Parse lldb output, calculate library bases

Construir Cadeia ROP

python3 rop_builder.py 0x0000000192200000
# Generate: cve_2026_86950_payload.bin

Executar Pipeline Completo (macOS)

make -C . all
make -C . run  # Requires lldb debugger

Estágios de Exploração

1. Criação da Fonte — Gerar TrueType malicioso com escala de glifos compostos (1.99994^7 ≈ 127x)
2. Incorporação no PDF — Incorporar a fonte, renderizar 256 glifos de heap-spray
3. Acionamento — Invocar CGImageSourceCreateThumbnailAtIndex() → crash com escrita OOB
4. Extração de Vazamento — Analisar o dump de crash, extrair valores de registradores → bypass de ASLR (teórico)
5. Corrupção de Heap — Criar payload para corromper metadados do malloc (teórico)
6. Execução de Código — Cadeia ROP para ARM64 para execução de shell (teórico)

Os estágios 4-6 exigem descoberta real de gadgets via Ghidra/IDA Pro nos binários do CoreGraphics.

Detalhes Técnicos

A Falha

int32_t aa_double_to_fixed(double px) {
    double v = 0.5 + 4096.0 * px;  // No overflow check
    return (int32_t)v;               // Cast overflow
}

Overflow quando px > 524.288 pixels. Diferencial ARM64: FCVTZS satura para INT32_MAX, mas o vetor XTN trunca → inversão da bounding box → alocação de heap subdimensionada.

Caminho de Exploração

1. Empilhe 7 níveis de escalonamento de glifos compostos → ampliação de 127x
2. Acione o overflow de aa_double_to_fixed() no pipeline de renderização
3. A bbox corrompida causa alocação subdimensionada do buffer de cobertura
4. Escreva além dos limites do heap, corrompendo metadados malloc adjacentes
5. Use o ponteiro corrompido para sequestrar o fluxo de controle → cadeia ROP → execução de código

Diferenças entre Plataformas

	macOS	iOS
Entrega	PDF direto	Anexo PDF (Messages/WhatsApp)
Processo	Preview.app	Daemon ImageIO (em sandbox)
Níveis de Escalonamento	7	5 (limite de memória)
Privilégio	Usuário	Daemon (necessário escape do sandbox)

Escopo e Limitações

✅ Cobre:

• Análise da vulnerabilidade e causa raiz
• Criação de fontes com gatilhos de overflow
• Incorporação em PDF e heap grooming
• Análise de crash dumps e conceitos de ASLR
• Documentação técnica completa

⚠️ Requer pesquisa externa:

• Descoberta de gadgets reais (Estágios 4-6) — análise binária + offsets específicos de versão
• Escape do sandbox do iOS — encadeamento com CVEs adicionais
• Validação em dispositivo — testes em hardware real/simulador

Divulgação Responsável

Pesquisa fornecida para:

• ✅ Fins educacionais
• ✅ Testes de segurança autorizados e pentesting
• ✅ Análise acadêmica de vulnerabilidades

A exploração não autorizada é ilegal.

Referências

• Apple Security Advisory - CVE-2026-86950
• The Hacker News - Apple CoreGraphics PoC

---

Autor: 34zY
Data: Outubro de 2026
Status: Corrigido, framework educacional

Aviso legal: Este projeto destina-se apenas a testes de segurança autorizados. O acesso não autorizado a sistemas de computador é ilegal.