从 DFG JIT 一个字节的类型错误到 iPhone 任意内存读写
本文记录了 WebKit JavaScriptCore DFG 编译器中一个类型声明错误的完整利用过程——从 DFGNodeType.h 宏表中的 NodeResultInt32（应为 NodeResultJS），经 GC 写屏障绕过触发 Use-After-Free，一步步升级到在 iPhone 真机（iOS 26.1，非越狱原厂）上稳定实现任意内存地址读写（AAR/AAW）。端到端成功率约 80%。 字段 值 漏洞位置 Source/JavaScriptCore/dfg/DFGNodeType.h — MapIterationEntryKey 节点 Bugzilla 304950 rdar 167200795 修复提交 3f6f7836068（cherry-pick 47b55468bf82） 受影响版本 Safari ≤ 26.2 (WebKit 7623.1.14.11.9) 修复版本 Safari 26.3 (20623.2.7) — 安全公告 目标设备 iPhone / vphone (iOS 26.1) 及 macOS 26.2 Exploit 成功率 ~80%（失败时通常表现为页面重载，罕见无响应崩溃） 漏洞概述 JavaScriptCore (JSC) 将 JavaScript 编译为高效机器码的过程中，有一个名为 DFG（Data Flow Graph）的中间层编译器。DFG 对每个中间表示(IR)节点附加了一个 输出类型声明（NodeResult），告诉后续优化 pass 这个节点产出什么类型的值。 问题出在一张巨大的宏定义表中，一个单词写错了： // Source/JavaScriptCore/dfg/DFGNodeType.h, line 592 macro(MapIterationEntry, NodeResultJS) \ macro(MapIterationEntryKey, NodeResultInt32) \ // ← BUG: 应为 NodeResultJS macro(MapIterationEntryValue, NodeResultJS) \ // ← 正确 MapIterationEntryKey — Map.forEach() 回调中获取 key 的节点 — 被声明为只产出 32 位整数。但看一下运行时的实际实现： ...