Анализ CVE-2025-14174: запись за пределами границ staging-буфера в ANGLE Metal

Технический анализ и proof-of-concept для CVE-2025-14174


CVE	CVE-2025-14174
Серьёзность	Высокая
Эксплуатация ITW	Да — целевые атаки на iOS < 26
Затронуто	iOS Safari, macOS Chrome/Chromium/Electron (не macOS Safari)
Статус	Исправлено в коммите ANGLE 95a32cb
Авторство	Apple, Google Threat Analysis Group

Эксплуатация в реальных атаках

По данным Apple, CVE-2025-14174 использовалась в рамках «чрезвычайно сложной атаки на конкретных целевых лиц» на версиях iOS до iOS 26.

Цепочка атак включала:

CVE-2025-14174 (этот разбор) - OOB-запись в ANGLE Metal
CVE-2025-43529 (WebKit Bug 302502) - use-after-free в WebKit

Краткое описание

В Metal-бэкенде ANGLE существует уязвимость записи за пределами границ (OOB) при загрузке текстур глубины через staging-буфер. Размер staging-буфера вычисляется с использованием GL_UNPACK_IMAGE_HEIGHT вместо фактической высоты текстуры. Когда UNPACK_IMAGE_HEIGHT < height, ANGLE выделяет буфер недостаточного размера и затем записывает в него height строк, что приводит к повреждению памяти GPU в процессе рендерера.

Затронутые платформы

Эта уязвимость затрагивает приложения, использующие Metal-бэкенд ANGLE для WebGL:

Платформа	ПО	Затронуто	Примечания
iOS	Safari	Да	WebKit на iOS использует ANGLE Metal для WebGL
macOS	Chrome / Chromium	Да	Использует Metal-бэкенд ANGLE
macOS	Electron-приложения	Да	Использует реализацию ANGLE из Chromium
macOS	Safari	Нет	Использует нативный Metal WebGL из WebKit, а не ANGLE

Детали по платформам

iOS Safari подвержен уязвимости. На iOS WebKit использует ANGLE в качестве WebGL-бэкенда, поэтому Safari на iPhone и iPad уязвим.

macOS Safari НЕ подвержен. На macOS Safari использует собственную нативную WebGL-реализацию WebKit, которая взаимодействует напрямую с Metal, полностью минуя ANGLE.

macOS Chrome подвержен. Google Chrome на macOS 26.1 во время тестирования выглядел уязвимым, поскольку использует Metal-бэкенд ANGLE для WebGL.

Уязвимый путь выполнения кода находится в классе TextureMtl ANGLE (setSubImageImpl / setPerSliceSubImage / SaturateDepth).

Воздействие

Серьёзность	Описание
Подтверждено	Запись в GPU/Metal-бэкенде за конец staging-буфера
Подтверждено	Воспроизводится через WebGL2 + PBO + DEPTH_COMPONENT32F
Вероятно	Сбой GPU-процесса или потеря контекста при нехватке памяти
Теоретически	Повреждение других ресурсов в памяти GPU (не продемонстрировано)

Ключевые особенности:

Ошибка незаметна в WebGL (обычно возвращается NO_ERROR)
В большинстве случаев нет видимых артефактов рендеринга
Слои валидации Metal могут не обнаружить переполнение
Возможна нестабильность GPU-процесса или эксплуатация в зависимости от раскладки кучи

Корневая причина

В пути загрузки текстуры глубины D32F ANGLE вычисляет pixelsDepthPitch из GL_UNPACK_IMAGE_HEIGHT и использует это значение для определения размера staging-буфера MTLBuffer. Однако последующий compute-dispatch (насыщение глубины) использует фактическую высоту текстуры для операции, что приводит к OOB-записи, когда параметры различаются.

Пример несоответствия размеров

Для width=1, height=512, UNPACK_IMAGE_HEIGHT=128, DEPTH_COMPONENT32F:

Параметр	Вычисление	Значение
Шаг строки	`width * sizeof(float)`	4 байта
Staging-буфер (выделено)	`rowPitch * UNPACK_IMAGE_HEIGHT`	512 байт
Compute-dispatch (записано)	`rowPitch * actualHeight`	2048 байт
OOB-запись	`2048 - 512`	1536 байт

Условия срабатывания

Должны выполняться все следующие условия:

Контекст WebGL2 (требуется для поддержки PBO)
Формат текстуры глубины DEPTH_COMPONENT32F (подтверждено; другие форматы глубины также могут быть затронуты, но не протестированы)
Pixel Buffer Object (PBO), привязанный к PIXEL_UNPACK_BUFFER
GL_UNPACK_IMAGE_HEIGHT установлено в значение меньше фактической высоты текстуры
Активен Metal-бэкенд ANGLE (iOS Safari или Chrome/Chromium/Electron на macOS)

Почему WebGL не блокирует это

Согласно спецификации GL, GL_UNPACK_IMAGE_HEIGHT влияет на загрузку 3D/массивных текстур, а не 2D-текстур. Для TEXTURE_2D:

Параметр принимается, но не участвует в валидации WebGL
WebGL не отклоняет UNPACK_IMAGE_HEIGHT < height для 2D-текстур
ANGLE ошибочно использует этот параметр для определения размера staging-буфера при загрузке глубины

Технический анализ

Уязвимая цепочка вызовов

WebGL API
├── gl.pixelStorei(UNPACK_IMAGE_HEIGHT, small_value)
├── gl.bindBuffer(PIXEL_UNPACK_BUFFER, pbo)
└── gl.texImage2D(TEXTURE_2D, 0, DEPTH_COMPONENT32F, w, h, ...)
    │
    ▼
ANGLE (Metal Backend)
├── TextureMtl::setImageImpl
│   └── TextureMtl::setSubImageImpl
│       └── Computes pixelsDepthPitch = rowPitch × UNPACK_IMAGE_HEIGHT
│
├── TextureMtl::setPerSliceSubImage
│   └── mtl::Buffer::MakeBufferWithStorageMode(context, 0, pixelsDepthPitch, ...)  ← UNDERSIZED
│
└── SaturateDepth
    ├── getComputeCommandEncoder()
    ├── setBuffer(stagingBuffer, index=2)
    └── dispatchThreads(MTLSize{width, actualHeight})  ← USES REAL HEIGHT

Данные бинарного анализа (iOS 26.1)

Функция	Адрес	Роль
`setSubImageImpl`	`0x272fa9028`	Вычисляет заниженный `depthPitch`
`setPerSliceSubImage`	`0x272fac240`	Выделяет заниженный staging-буфер
`MakeBufferWithStorageMode`	`0x272ef19bc`	Создаёт MTLBuffer с неверным размером
`SaturateDepth`	`0x272facfa4`	Запускает compute с фактическими размерами

; setSubImageImpl - compute undersized depthPitch
0x272fa90f4: ldr  w8, [x25, #0x10]     ; load UNPACK_IMAGE_HEIGHT
0x272fa9100: umull x3, w2, w8          ; depthPitch = rowPitch * UNPACK_IMAGE_HEIGHT

; setPerSliceSubImage - call MakeBufferWithStorageMode with undersized depthPitch
0x272fac5bc: mov  x2, x19              ; x2 = size (undersized depthPitch)
0x272fac5c4: bl   #0x272ef19bc         ; call MakeBufferWithStorageMode

Данные бинарного анализа (macOS 26.1)

Функция	Адрес	Роль
`setSubImageImpl`	`0x22c6d10f4`	Вычисляет заниженный `depthPitch`
`setPerSliceSubImage`	`0x22c6d4398`	Выделяет заниженный staging-буфер
`MakeBufferWithStorageMode`	`0x22c619490`	Создаёт MTLBuffer с неверным размером
`SaturateDepth`	`0x22c6d5144`	Запускает compute с фактическими размерами

; setSubImageImpl - compute undersized depthPitch
0x22c6d11c0: ldr  w8, [x25, #0x10]     ; load UNPACK_IMAGE_HEIGHT
0x22c6d11cc: umull x3, w2, w8          ; depthPitch = rowPitch * UNPACK_IMAGE_HEIGHT

; setPerSliceSubImage - call MakeBufferWithStorageMode with undersized depthPitch
0x22c6d461c: ldr  x20, [sp, #0x48]     ; load depthPitch from stack
0x22c6d4628: bl   MakeBufferWithStorageMode

Функция SaturateDepth затем запускает Metal compute-shader с фактическими размерами текстуры, записывая данные за пределы заниженного staging-буфера.

Популярное

CVE-2025-14174-analysis