CVE-2026-20698 — XNU 内核通过 PF_ROUTE RTA_GENMASK 导致的堆溢出

概述

XNU 路由套接字（PF_ROUTE）在处理 route_msg() 中的 RTA_GENMASK 时存在堆缓冲区溢出。该漏洞可由无权限且无任何授权的非特权进程触发内核崩溃。

• CVE：CVE-2026-20698（归功于 DARKNAVY）
• 受影响版本：iOS < 26.4，macOS < 26.4
• 已修复版本：iOS 26.4（返回 ENOBUFS 而非处理超大的 genmask）
• 影响：内核崩溃 / 拒绝服务，潜在的堆破坏
• Apple 报告：OE110531644254（独立发现，因已修复而关闭）

文件

• pf_route_crash.c — 最小化 PoC（触发内核崩溃）
• variant_probe.c — 跨路由家族的变体分析
• family_probe.c — 家族枚举探测
• route_26_4_variants.c — 补丁后（26.4）的变体测试
• genmask_escalate.c — 提权尝试分析
• variant_26_4_test.m — iOS 应用变体测试
• single_family.c — 单家族隔离测试
• APPLE_SUBMISSION.md — 原始 Apple 安全赏金提交
• panic_iphone17_26.3.1.ips — 来自 iPhone 17 Pro Max 的内核崩溃日志

说明

该 CVE 正式归属于 DARKNAVY，他们比我们更早报告了此漏洞。我们通过内核源代码分析和在真实 iPhone 17 Pro Max 上的二进制测试独立发现了同一漏洞。我们的 Apple 安全赏金提交（OE110531644254）因该问题已在 iOS 26.4 中修复而被关闭。

研究人员

Somair Ansar（[email protected]）
独立发现，提交于 2026 年 3 月 29 日。并非原始报告者。