CVE-2026-86950: целочисленное переполнение в CoreGraphics

Фреймворк для эксплуатации CVE-2026-86950 — критического целочисленного переполнения в растеризаторе сглаживания CoreGraphics от Apple, затрагивающего iOS 26.7 и macOS 26.7.

Уязвимость

Целочисленное переполнение в aa_double_to_fixed() при рендеринге шрифтов вызывает запись за границы кучи через искажённые вычисления ограничивающего прямоугольника. Эксплуатируется с помощью вредоносных шрифтов TrueType в PDF-файлах.

• CVSS: 9.6 (критический)
• Статус: исправлено в iOS/macOS 26.7.1+
• Вектор доставки: PDF со встроенным шрифтом (WhatsApp, iMessage, Preview.app)

Файлы

Фреймворк эксплуатации

• exploit_full.py — генератор эксплойта для macOS (шрифт + PDF + ROP-цепочка)
• exploit_ios.py — вариант для iOS (упрощённая сложность, 5-уровневое масштабирование)
• leak_extractor.py — разбор дампов падений, вычисление обхода ASLR
• rop_builder.py — построение цепочки ROP-гаджетов для ARM64

Артефакты

• CVE-2026-86950_ArXiv.pdf — полная техническая статья (20 страниц, готова к рецензированию)
• exploit.ttf / ios_exploit.ttf — вредоносные шрифты (цепочка составных глифов)
• exploit.pdf / ios_exploit.pdf — PDF-файлы-триггеры со встроенными шрифтами
• cve_2026_86950_payload.bin — бинарная ROP-цепочка для ARM64

Документация

• ACADEMIC_PAPER.md — исходник исследовательской статьи в Markdown
• ATTRIBUTION.md — сведения об авторах и ссылки
• QUICK_START.txt — руководство по настройке за 5 минут
• Makefile — конфигурация сборки
• run_exploit.sh — автоматизированный 6-этапный конвейер

Быстрый старт

Генерация артефактов для macOS

python3 exploit_full.py .
# Outputs: exploit.ttf, exploit.pdf, Makefile

Генерация артефактов iOS

python3 exploit_ios.py .
# Outputs: ios_exploit.ttf, ios_exploit.pdf, ios_payload.bin

Извлечение утечки ASLR

python3 leak_extractor.py crash.log
# Parse lldb output, calculate library bases

Построение ROP-цепочки

python3 rop_builder.py 0x0000000192200000
# Generate: cve_2026_86950_payload.bin

Запуск полного конвейера (macOS)

make -C . all
make -C . run  # Requires lldb debugger

Этапы эксплуатации

1. Создание шрифта — генерация вредоносного TrueType с масштабированием составных глифов (1.99994^7 ≈ 127x)
2. Встраивание в PDF — встраивание шрифта, отрисовка 256 глифов для heap-spray
3. Триггер — вызов CGImageSourceCreateThumbnailAtIndex() → падение с записью за границы буфера (OOB write)
4. Извлечение утечки — разбор дампа падения, извлечение значений регистров → обход ASLR (теоретически)
5. Повреждение кучи — создание полезной нагрузки для повреждения метаданных malloc (теоретически)
6. Выполнение кода — ROP-цепочка для ARM64 для запуска шелла (теоретически)

Этапы 4-6 требуют реального поиска гаджетов с помощью Ghidra/IDA Pro в бинарниках CoreGraphics.

Технические подробности

Уязвимость

int32_t aa_double_to_fixed(double px) {
    double v = 0.5 + 4096.0 * px;  // No overflow check
    return (int32_t)v;               // Cast overflow
}

Переполнение при px > 524 288 пикселей. ARM64-различие: FCVTZS насыщается до INT32_MAX, но векторный XTN усекает → инверсия ограничивающего прямоугольника → недостаточное выделение памяти в куче.

Путь эксплуатации

1. Наложение 7 уровней масштабирования составных глифов → 127-кратное увеличение
2. Запуск переполнения aa_double_to_fixed() в конвейере рендеринга
3. Повреждённый bbox приводит к выделению недостаточного буфера покрытия
4. Запись за границы кучи, повреждение соседних метаданных malloc
5. Использование повреждённого указателя для перехвата потока управления → ROP-цепочка → выполнение кода

Различия платформ

	macOS	iOS
Доставка	Прямой PDF	PDF-вложение (Messages/WhatsApp)
Процесс	Preview.app	Демон ImageIO (в песочнице)
Уровни масштабирования	7	5 (ограничение памяти)
Привилегии	Пользователь	Демон (требуется побег из песочницы)

Область применения и ограничения

✅ Охватывает:

• Анализ уязвимости и первопричину
• Создание шрифтов с триггерами переполнения
• Встраивание в PDF и подготовку кучи (heap grooming)
• Разбор дампов падений и концепции ASLR
• Полную техническую документацию

⚠️ Требует внешнего исследования:

• Поиск реальных гаджетов (этапы 4–6) — бинарный анализ + смещения для конкретных версий
• Побег из песочницы iOS — связывание с дополнительными CVE
• Проверка на устройстве — тестирование на реальном оборудовании/симуляторе

Ответственное раскрытие

Исследование предоставлено для:

• ✅ Образовательных целей
• ✅ Авторизованного тестирования безопасности и пентестинга
• ✅ Академического анализа уязвимостей

Неавторизованная эксплуатация незаконна.

Ссылки

• Apple Security Advisory - CVE-2026-86950
• The Hacker News - Apple CoreGraphics PoC

---

Автор: 34zY
Дата: октябрь 2026
Статус: исправлено, образовательный фреймворк

Отказ от ответственности: Этот проект предназначен только для авторизованного тестирования безопасности. Неавторизованный доступ к компьютерным системам незаконен.