CVE-2026-86950：CoreGraphics 整数溢出

针对 CVE-2026-86950 的漏洞利用框架。该漏洞是 Apple CoreGraphics 抗锯齿光栅化器中的一个严重整数溢出漏洞，影响 iOS 26.7 和 macOS 26.7。

漏洞详情

字体渲染期间，aa_double_to_fixed() 中的整数溢出会通过损坏的边界框计算触发堆越界写入。可通过 PDF 中的恶意 TrueType 字体加以利用。

• CVSS：9.6（严重）
• 状态：已在 iOS/macOS 26.7.1+ 中修复
• 投递方式：内嵌字体的 PDF（WhatsApp、iMessage、Preview.app）

文件

漏洞利用框架

• exploit_full.py — macOS 漏洞利用生成器（字体 + PDF + ROP 链）
• exploit_ios.py — iOS 变体（复杂度降低，5 级缩放）
• leak_extractor.py — 解析崩溃转储，计算 ASLR 绕过
• rop_builder.py — ARM64 ROP gadget 链构建

产物

• CVE-2026-86950_ArXiv.pdf — 完整技术论文（20 页，可供同行评审）
• exploit.ttf / ios_exploit.ttf — 恶意字体（复合字形链式构造）
• exploit.pdf / ios_exploit.pdf — 内嵌字体的触发 PDF
• cve_2026_86950_payload.bin — ARM64 ROP 链二进制文件

文档

• ACADEMIC_PAPER.md — 研究论文的 Markdown 源文件
• ATTRIBUTION.md — 作者署名与参考文献
• QUICK_START.txt — 5 分钟快速上手指南
• Makefile — 构建配置
• run_exploit.sh — 自动化 6 阶段流水线

快速开始

生成 macOS 产物

python3 exploit_full.py .
# Outputs: exploit.ttf, exploit.pdf, Makefile

生成 iOS 取证产物

python3 exploit_ios.py .
# Outputs: ios_exploit.ttf, ios_exploit.pdf, ios_payload.bin

提取 ASLR 泄漏

python3 leak_extractor.py crash.log
# Parse lldb output, calculate library bases

构建 ROP 链

python3 rop_builder.py 0x0000000192200000
# Generate: cve_2026_86950_payload.bin

运行完整流水线（macOS）

make -C . all
make -C . run  # Requires lldb debugger

利用阶段

1. 字体构造 — 生成带有复合字形缩放的恶意 TrueType 字体（1.99994^7 ≈ 127 倍）
2. PDF 嵌入 — 嵌入字体，渲染 256 个堆喷射字形
3. 触发 — 调用 CGImageSourceCreateThumbnailAtIndex() → 因越界写入而崩溃
4. 泄漏提取 — 解析崩溃转储，提取寄存器值 → 绕过 ASLR（理论）
5. 堆破坏 — 构造载荷以破坏 malloc 元数据（理论）
6. 代码执行 — 用于 shell 执行的 ARM64 ROP 链（理论）

阶段 4-6 需要通过 Ghidra/IDA Pro 在 CoreGraphics 二进制文件上进行真实的 gadget 发现。

技术细节

缺陷

int32_t aa_double_to_fixed(double px) {
    double v = 0.5 + 4096.0 * px;  // No overflow check
    return (int32_t)v;               // Cast overflow
}

当 px > 524,288 像素时发生溢出。ARM64 差异：FCVTZS 饱和至 INT32_MAX，但向量 XTN 会截断 → 边界框反转 → 堆分配过小。

利用路径

1. 叠加 7 层复合字形缩放 → 127 倍放大
2. 在渲染管线中触发 aa_double_to_fixed() 溢出
3. 损坏的 bbox 导致覆盖缓冲区分配过小
4. 越界写入堆，破坏相邻的 malloc 元数据
5. 利用损坏的指针劫持控制流 → ROP 链 → 代码执行

平台差异

	macOS	iOS
投递方式	直接 PDF	PDF 附件（Messages/WhatsApp）
进程	Preview.app	ImageIO 守护进程（沙盒化）
缩放层级	7	5（内存限制）
权限	用户	守护进程（需要沙盒逃逸）

范围与限制

✅ 涵盖：

• 漏洞分析与根本原因
• 构造带溢出触发器的字体
• PDF 嵌入与堆布局整理
• 崩溃转储解析与 ASLR 概念
• 完整技术文档

⚠️ 需要外部研究：

• 真实 gadget 发现（阶段 4-6）—— 二进制分析 + 版本特定偏移
• iOS 沙盒逃逸 —— 与其他 CVE 串联
• 设备验证 —— 在真实硬件/模拟器上测试

负责任披露

本研究提供用于：

• ✅ 教育目的
• ✅ 授权的安全测试与渗透测试
• ✅ 学术漏洞分析

未经授权的利用是违法的。

参考资料

• Apple 安全公告 - CVE-2026-86950
• The Hacker News - Apple CoreGraphics PoC

---

作者： 34zY
日期： 2026 年 10 月
状态： 已修补，教育框架

免责声明： 本项目仅用于授权的安全测试。未经授权访问计算机系统是违法的。