Análise do CVE-2025-14174: Escrita Fora dos Limites no Buffer de Staging do ANGLE Metal

Análise técnica e prova de conceito para CVE-2025-14174


CVE	CVE-2025-14174
Gravidade	Alta
Explorado ITW	Sim - ataques direcionados a iOS < 26
Afetado	iOS Safari, macOS Chrome/Chromium/Electron (não macOS Safari)
Status	Corrigido no commit 95a32cb do ANGLE
Crédito	Apple, Google Threat Analysis Group

Exploração Ativa (In-the-Wild)

De acordo com a Apple, o CVE-2025-14174 foi explorado como parte de um "ataque extremamente sofisticado contra indivíduos específicos" em versões do iOS anteriores ao iOS 26.

A cadeia de ataque incluía:

CVE-2025-14174 (este relatório) - Escrita OOB no ANGLE Metal
CVE-2025-43529 (WebKit Bug 302502) - Use-after-free no WebKit

Resumo

Uma vulnerabilidade de escrita fora dos limites (OOB) existe no backend Metal do ANGLE ao enviar texturas de profundidade via um buffer de staging. O tamanho do buffer de staging é calculado usando GL_UNPACK_IMAGE_HEIGHT em vez da altura real da textura. Quando UNPACK_IMAGE_HEIGHT < height, o ANGLE aloca um buffer menor e subsequentemente escreve height linhas nele, causando uma corrupção de memória da GPU no processo renderizador.

Plataformas Afetadas

Esta vulnerabilidade afeta aplicações que usam o backend Metal do ANGLE para WebGL:

Plataforma	Software	Afetado	Notas
iOS	Safari	Sim	WebKit no iOS usa ANGLE Metal para WebGL
macOS	Chrome / Chromium	Sim	Usa backend Metal do ANGLE
macOS	Aplicativos Electron	Sim	Usa implementação do ANGLE do Chromium
macOS	Safari	Não	Usa o WebGL Metal nativo do WebKit, não o ANGLE

Detalhes da Plataforma

O Safari do iOS é afetado. No iOS, o WebKit usa ANGLE como seu backend WebGL, tornando o Safari no iPhone e iPad vulnerável.

O Safari do macOS NÃO é afetado. No macOS, o Safari usa sua própria implementação WebGL nativa do WebKit que interage diretamente com o Metal, ignorando completamente o ANGLE.

O Chrome do macOS é afetado. O Google Chrome rodando no macOS 26.1 mostrou-se vulnerável durante testes, pois usa o backend Metal do ANGLE para WebGL.

O caminho de código vulnerável existe na classe TextureMtl do ANGLE (setSubImageImpl / setPerSliceSubImage / SaturateDepth).

Impacto

Gravidade	Descrição
Confirmado	Escrita no backend GPU/Metal além do final do buffer de staging
Confirmado	Reproduzível via WebGL2 + PBO + DEPTH_COMPONENT32F
Plausível	Falha no processo GPU ou perda de contexto sob pressão de memória
Teórico	Corrupção cruzada de recursos na memória GPU (não demonstrada)

Características principais:

O bug é silencioso no WebGL (tipicamente retorna NO_ERROR)
Nenhum artefato visível de renderização na maioria dos casos
As camadas de validação do Metal podem não detectar o estouro
Potencial para instabilidade do processo GPU ou exploração dependendo do layout da heap

Causa Raiz

No caminho de upload de textura de profundidade D32F, o ANGLE calcula pixelsDepthPitch a partir de GL_UNPACK_IMAGE_HEIGHT e usa esse valor para dimensionar o MTLBuffer de staging. No entanto, o dispatch de computação subsequente (saturação de profundidade) usa a altura real da textura para a operação, causando uma escrita OOB quando os parâmetros diferem.

Exemplo de Incompatibilidade de Tamanho

Para width=1, height=512, UNPACK_IMAGE_HEIGHT=128, DEPTH_COMPONENT32F:

Parâmetro	Cálculo	Valor
Passo da linha (row pitch)	`width * sizeof(float)`	4 bytes
Buffer de staging (alocado)	`rowPitch * UNPACK_IMAGE_HEIGHT`	512 bytes
Dispatch de computação (escrito)	`rowPitch * actualHeight`	2048 bytes
Escrita OOB	`2048 - 512`	1536 bytes

Condições de Disparo

Todas as condições abaixo devem ser verdadeiras:

Contexto WebGL2 (necessário para suporte a PBO)
Formato de textura de profundidade DEPTH_COMPONENT32F (verificado; outros formatos de profundidade também podem ser afetados, mas não testados)
Pixel Buffer Object (PBO) vinculado a PIXEL_UNPACK_BUFFER
GL_UNPACK_IMAGE_HEIGHT definido com um valor menor que a altura real da textura
Backend Metal do ANGLE ativo (iOS Safari, ou Chrome/Chromium/Electron no macOS)

Por que o WebGL não Bloqueia Isso

GL_UNPACK_IMAGE_HEIGHT é definido pela especificação GL para afetar uploads de texturas 3D/array, não texturas 2D. Para TEXTURE_2D:

O parâmetro é aceito, mas não participa da validação do WebGL
O WebGL não rejeita UNPACK_IMAGE_HEIGHT < height para texturas 2D
O ANGLE usa incorretamente esse parâmetro para dimensionar o buffer de staging para uploads de profundidade

Análise Técnica

Cadeia de Chamadas Vulnerável

WebGL API
├── gl.pixelStorei(UNPACK_IMAGE_HEIGHT, small_value)
├── gl.bindBuffer(PIXEL_UNPACK_BUFFER, pbo)
└── gl.texImage2D(TEXTURE_2D, 0, DEPTH_COMPONENT32F, w, h, ...)
    │
    ▼
ANGLE (Backend Metal)
├── TextureMtl::setImageImpl
│   └── TextureMtl::setSubImageImpl
│       └── Calcula pixelsDepthPitch = rowPitch × UNPACK_IMAGE_HEIGHT
│
├── TextureMtl::setPerSliceSubImage
│   └── mtl::Buffer::MakeBufferWithStorageMode(context, 0, pixelsDepthPitch, ...)  ← MENOR QUE O NECESSÁRIO
│
└── SaturateDepth
    ├── getComputeCommandEncoder()
    ├── setBuffer(stagingBuffer, index=2)
    └── dispatchThreads(MTLSize{width, actualHeight})  ← USA ALTURA REAL

Evidências Binárias (iOS 26.1)

Função	Endereço	Papel
`setSubImageImpl`	`0x272fa9028`	Calcula `depthPitch` menor que o necessário
`setPerSliceSubImage`	`0x272fac240`	Aloca buffer de staging menor que o necessário
`MakeBufferWithStorageMode`	`0x272ef19bc`	Cria MTLBuffer com tamanho errado
`SaturateDepth`	`0x272facfa4`	Dispara computação com dimensões reais

; setSubImageImpl - calcula depthPitch menor que o necessário
0x272fa90f4: ldr  w8, [x25, #0x10]     ; carrega UNPACK_IMAGE_HEIGHT
0x272fa9100: umull x3, w2, w8          ; depthPitch = rowPitch * UNPACK_IMAGE_HEIGHT

; setPerSliceSubImage - chama MakeBufferWithStorageMode com depthPitch menor que o necessário
0x272fac5bc: mov  x2, x19              ; x2 = tamanho (depthPitch menor que o necessário)
0x272fac5c4: bl   #0x272ef19bc         ; chama MakeBufferWithStorageMode

Evidências Binárias (macOS 26.1)

Função	Endereço	Papel
`setSubImageImpl`	`0x22c6d10f4`	Calcula `depthPitch` menor que o necessário
`setPerSliceSubImage`	`0x22c6d4398`	Aloca buffer de staging menor que o necessário
`MakeBufferWithStorageMode`	`0x22c619490`	Cria MTLBuffer com tamanho errado
`SaturateDepth`	`0x22c6d5144`	Dispara computação com dimensões reais

; setSubImageImpl - calcula depthPitch menor que o necessário
0x22c6d11c0: ldr  w8, [x25, #0x10]     ; carrega UNPACK_IMAGE_HEIGHT
0x22c6d11cc: umull x3, w2, w8          ; depthPitch = rowPitch * UNPACK_IMAGE_HEIGHT

; setPerSliceSubImage - chama MakeBufferWithStorageMode com depthPitch menor que o necessário
0x22c6d461c: ldr  x20, [sp, #0x48]     ; carrega depthPitch da pilha
0x22c6d4628: bl   MakeBufferWithStorageMode

Mais Populares

CVE-2025-14174-analysis