CVE-2026-43813 — Contournement de enforceEnvironment de CloudAttestation

Analyse par rétro-ingénierie du bug de validation des entrées de l'attestation PCC qu'Apple a livré avec iOS 26.6, présent dans CloudAttestation.dylib.

TL;DR

PCC.ComputeNodeValidator.policy.getter lit l'octet com.apple.CloudAttestation.environment dans le dictionnaire darwinInit non vérifié contenu dans le protobuf AttestationBundle et le fourre directement dans la NodeValidator.policy renvoyée à l'appelant. Le correctif 26.6 introduit un nouveau champ de structure censé conditionner cette lecture à la clé de politique système enforceEnvironment dans le domaine com.apple.CloudAttestation — mais ce champ n'a jamais été initialisé dans 26.5, de sorte que la condition était en pratique absente et qu'un bundle d'attestation PCC spécialement conçu pouvait insérer une valeur d'environnement choisie par l'attaquant dans la chaîne de politiques du validateur.

L'octet lui-même ne déverrouille rien par lui-même — il doit correspondre au paramètre expected fourni par l'appelant pour passer EnvironmentPolicy.evaluate, et le reste de la pile de politiques de production (requireProdTrustAnchors, requireProdFusing, requireLockedCryptexes, restrictDeveloperMode, strictCertificateValidation, transparencyProofValidation, ensembleTopologyValidation) est lu depuis os_policy_lookup, et non depuis le bundle.

Binaires inclus dans le dépôt

Les bases de données IDA (.i64), les dumps BinExport et les autres builds intermédiaires sont ignorés par Git.

Adresses vulnérables / corrigées

Similarité Bindiff pour la paire corrigée : 0.68.

Fichiers

• WRITEUP.md — analyse complète de rétro-ingénierie (flux de données, correctif, pourquoi c'est interne à PCC et non à la signature d'applications)
• WHY-NOT-SIDELOADING.md — courte coda sur le modèle de menace expliquant pourquoi cette CVE ne peut pas être transformée en exploit de type TrollStore
• NOTES.md — brouillon d'analyse
• CVE-2026-43813.txt — description originale de la CVE (copie conforme de VulDB)
• releases.txt — identifiants de build dans l'ordre chronologique

Note

Cette recherche a été fortement assistée par MiniMax-M3. Gardez cela à l'esprit en lisant les analyses — aucune de ces analyses n'est vérifiée de manière indépendante, et toute décompilation, adresse ou score de similarité cité doit être revérifié avant de s'y fier.