CVE-2026-43813 — تجاوز enforceEnvironment في CloudAttestation

تحليل هندسة عكسية لخلل التحقق من مدخلات PCC الذي أصدرته Apple في iOS 26.6، ويوجد في CloudAttestation.dylib.

TL;DR

يقرأ PCC.ComputeNodeValidator.policy.getter البايت com.apple.CloudAttestation.environment من قاموس darwinInit غير الموثَّق داخل بروتوبوف AttestationBundle ويدسه مباشرةً في NodeValidator.policy الذي يُرجَع إلى المستدعي. يقدّم إصلاح 26.6 حقل بنية جديدًا من المفترض أن يقيّد ذلك القراءة على مفتاح سياسة النظام enforceEnvironment في نطاق com.apple.CloudAttestation — لكن هذا الحقل لم تتم تهيئته إطلاقًا في 26.5، لذلك كان البوّاب غائبًا فعليًا ويمكن لحزمة إثبات PCC مصنوعة خصيصًا أن تضع قيمة بيئة يختارها المهاجم في سلسلة سياسات المدقِّق.

البايت نفسه لا يفتح أي شيء بمفرده — إذ يجب أن يطابق المعلَمة expected المقدَّمة من المستدعي لاجتياز EnvironmentPolicy.evaluate، وبقية حزمة سياسات الإنتاج (requireProdTrustAnchors، requireProdFusing، requireLockedCryptexes، restrictDeveloperMode، strictCertificateValidation، transparencyProofValidation، ensembleTopologyValidation) تُقرأ من os_policy_lookup وليس من الحزمة.

الملفات الثنائية المضمّنة في المستودع

قواعد بيانات IDA (.i64)، ومُخرجات BinExport، والبنى الوسيطة الأخرى مستبعَدة عبر gitignore.

العناوين القابلة للاستغلال / المصحَّحة

تشابه Bindiff للزوج المصحَّح: 0.68.

الملفات

• WRITEUP.md — توثيق هندسة عكسية كامل (تدفُّق البيانات، رقعة الإصلاح، ولماذا يكون الخلل داخليًا في PCC وليس في توقيع التطبيقات)
• WHY-NOT-SIDELOADING.md — خاتمة قصيرة لنموذج التهديد تشرح لماذا لا يمكن تحويل هذا CVE إلى استغلال بأسلوب TrollStore
• NOTES.md — مسوّدة تحليل
• CVE-2026-43813.txt — وصف CVE الأصلي (حرفيًا من VulDB)
• releases.txt — معرّفات البناء بترتيب زمني

ملاحظة

هذا البحث حظي بمساعدة كبيرة من MiniMax-M3. ضع ذلك في الاعتبار عند قراءة التوثيقات — لا شيء من التحليل تم التحقق منه بشكل مستقل، وأي إعادة تفكيك برمجي أو عنوان أو درجة تشابه مذكورة يجب إعادة فحصها قبل الاعتماد عليها.