bytev0rtex/cve-2026-64788Prova de conceito para CVE-2026-64788, um use-after-free na extensão de kernel IOGPUFamily no iOS 26.6, demonstrando exploração via criação de textura Metal e heap spraying.
Componente: Extensão de kernel IOGPUFamily (com.apple.iokit.IOGPUFamily)
Afetado: iOS / iPadOS 26.6 (23G71) e anteriores
Corrigido em: iOS / iPadOS 26.6.1 (23G83)
Tipo: Use-After-Free em IOGPUDevice::create_resource_iosurface
Impacto: Corrupção de memória do kernel; dereferência de UAF confirmada no A14 (iPhone 12)
Descoberto por: f00l (@PPPF00L), 3ndy1 (@_3ndy1), Minghao Lin (@Y1nkoc), 云散花折, Arjanit Isufi
(conforme Apple Security Advisory — iOS 26.6.1)
IOGPUDevice::create_resource_iosurface aloca um objeto IOGPUSysMemory (~0x100 bytes, zona ) e o registra na tabela de recursos IOSurface do dispositivo. Antes de retornar, uma verificação de estouro de dimensão é acionada via . O caminho de estouro ramifica para um retorno de erro , deixando uma entrada ativa na tabela de recursos que aponta para memória liberada.
kalloc.256ADDS width+height → b.hscreate_resource_iosurface:
kalloc(0x100) → obj ; IOGPUSysMemory alocado
table[new_id] = obj ; registrado com uma referência
ADDS w_result, w_width, w_height
b.hs error_path ; ← estouro: salta para cá
error_path:
; objeto NÃO liberado, entrada da tabela NÃO limpa
return kIOReturnInvalid
A entrada obsoleta da tabela persiste até que o mesmo ID de recurso seja reutilizado ou o dispositivo seja fechado.
IOGPUDevice::set_resource_purgeable(id) procura o ID obsoleto via get_resource_by_id(), encontra a entrada pendente e a acessa de forma não virtual:
| Offset | Operação | Descrição |
|---|---|---|
+0x010c | ldaddl w9(-4), w8, [obj+0x24] | Decremento atômico de [obj+0x24]; valor antigo → w8 |
+0x0128 | cbz w8, skip; ldr x1, [obj+0x28] | Se o antigo [+0x24] != 0: carrega [obj+0x28] como argumento para IOGPUMemory::setAllocation |
+0x0134 | ldr x0, [obj+0x10] | Carrega [obj+0x10] como argumento do IOCommandGate; cbz → skip se 0 |
O PoC aciona o UAF usando newTextureWithDescriptor:iosurface:plane: do Metal com dimensões de estouro manipuladas. Antes da dereferência de UAF:
kalloc.256 liberado[+0x10]=0, [+0x24]=0, [+0x28]=0 → Call2 e Call3 são ignorados com segurançaDetecção do gatilho: set_resource_purgeable em um recurso inexistente retorna 0xe00002c2. Após o UAF + pulverização recuperar o slot, a mesma chamada retorna 0xe0002be (recurso encontrado, Call1 disparada) — confirmando que a entrada obsoleta está sendo processada com nossos dados de pulverização.
O sequestro de zona no iOS 26 coloca objetos IOGPUSysMemory liberados de volta em uma lista livre de zona estável por tipo. Tanto [obj+0x10] (IOMemoryDescriptor) quanto [obj+0x18] (IOGPUDevice) mantêm contagens de retenção externas e permanecem ativos após o objeto ser liberado. Como resultado, completeMemory() sempre executa em dados ivar válidos — a dereferência de UAF é confirmada, mas uma primitiva de leitura/escrita no kernel apenas por este caminho é bloqueada no iOS 26 sem uma primitiva secundária para quebrar o sequestro de zona.
clang -arch arm64 -framework Metal -framework IOSurface \
-framework IOKit -framework Foundation \
-o poc poc/poc_iogpu_uaf.m
Ou abra no Xcode, defina uma equipe de assinatura válida e execute no dispositivo.
| Data | Evento |
|---|---|
| 2026-08-17 | iOS 26.6.1 lançado com a correção |
| 2026-08-17 | Créditos da Apple publicados no advisory de segurança |