AppleAVE2 CVE 研究 — iOS 27.0

[!IMPORTANT] 本仓库由 AI 智能体辅助研究

[!NOTE]

开放研究

欢迎贡献

CVE-2026-84607（AVEVideoEncoder 竞态 → 内核权限）：已定位修复

这是什么

iOS 27.0 公告 149034，组件 AVEVideoEncoder：“沙盒应用可能能够以内核权限执行任意代码”——“通过改进状态管理修复了竞态条件。” 本文说明：修复位于何处以及它做了什么。

答案： com.apple.driver.AppleAVE2 中新增的逐帧状态一致性防护，它将客户端的 eEncType 与会话的 sEnc.eType 进行比较，并在不匹配时转移该帧。被检查的字段由无锁链写入——通过验证修复，而非通过加锁修复。

修复窗口

该修复并未在 GM 落地。它落在 iOS 27.0 周期的 beta 2 → beta 4 阶段：

防护（已在 GM 中验证）

0xfffffff008734d14  ldr w8,  [x22, #0x58]     ; client  eEncType
0xfffffff008734d18  ldr w9,  [x19, #0x270]    ; session sEnc.eType
0xfffffff008734d1c  cmp w8, w9                ; the new state-consistency guard
0xfffffff008734d20  b.ne → divert             ; mismatch NEVER reaches frame processing

• 字符串 EncType mismatch with session——在 beta 2 中不存在，从 beta 4 起出现。
• 功能性，而非仅日志：不匹配走单独代码块；匹配则调用正常处理器 sub_fffffff008733654。
• 竞态形态： 被检查的字段在 kext 中恰好有一个写入者（0xfffffff008737f98），其写入者链（2 层，终止于间接分派）不调用任何锁辅助函数——读取者和写入者处于不同的锁域。
• kext 中完全不存在原子操作（解码了 475k 条指令，零 ldxr/stxr/cas/swp）——仅基于锁，因此该修复不可能是原子操作变更。

同批 CVE（同一公告，同一修复阶段）

b2→b4 清扫还在 AVE_CalcBufSizeOf* 缓冲区大小计算器系列（像素面积、DPB、LRB、HSC/MCTF 输出等）上新增了 约 22 个整数溢出防护：

• CVE-2026-65410（“改进的检查”）→ 溢出防护。
• CVE-2026-84616（类型混淆，“改进的内存处理”）→ 未被此阶段匹配；位于别处（可能是用户态插件，未做差异比对）。
• CVE-2026-84607 → EncType 状态防护（依据措辞 + 竞态形态）。

诚实的注意事项

1. 代码层面的修复前缺失尚未确立——通过 LIS 对齐进行的 beta-2 地址映射不可靠（完整报告 §7.9）。仍然成立的是：字符串缺失、GM 指令、修复阶段、无锁写入者。
2. 归因是收敛推断——Apple 不发布逐 CVE 的代码映射。
3. 用户态 ave.videoencoder / AppleVideoEncoder.bundle 未在该窗口内做差异比对（修复前副本存在于 beta dyld 共享缓存中）。
4. 防护相邻项：固件命令槽边界检查先前已存在（仅重新措辞）。

[!NOTE]

免责声明

所有主张均引用可核查的产物；在信任其中任何一项之前请重新验证。不包含任何漏洞利用代码。该修复已在 iOS 27.0 （24A435）中发布——本仓库记录的是已修补的代码。 仅用于教育目的。无漏洞利用代码。