CVE-2026-43813 — CloudAttestation enforceEnvironment 우회

Apple이 iOS 26.6에 포함시킨 PCC 증명 입력 검증 버그의 리버스 엔지니어링 분석. CloudAttestation.dylib에서 발견됨.

TL;DR

PCC.ComputeNodeValidator.policy.getter는 AttestationBundle protobuf 내부의 검증되지 않은 darwinInit 딕셔너리에서 com.apple.CloudAttestation.environment 바이트를 읽어 호출자에게 반환되는 NodeValidator.policy에 그대로 집어넣는다. 26.6 수정 패치는 com.apple.CloudAttestation 도메인의 시스템 정책 키 enforceEnvironment에 해당 읽기를 제한하도록 되어 있는 새로운 구조체 필드를 도입한다 — 그러나 그 필드는 26.5에서 전혀 초기화되지 않았고, 따라서 해당 게이트는 사실상 존재하지 않았으며, 조작된 PCC 증명 번들은 검증자의 정책 체인에 공격자가 선택한 환경 값을 설정할 수 있었다.

그 바이트 자체만으로는 아무것도 잠금 해제되지 않는다 — EnvironmentPolicy.evaluate를 통과하려면 호출자가 제공한 expected 매개변수와 일치해야 하며, 나머지 프로덕션 정책 스택(requireProdTrustAnchors, requireProdFusing, requireLockedCryptexes, restrictDeveloperMode, strictCertificateValidation, transparencyProofValidation, ensembleTopologyValidation)은 번들이 아닌 os_policy_lookup에서 읽힌다.

저장소에 포함된 바이너리

IDA 데이터베이스(.i64), BinExport 덤프 및 기타 중간 빌드는 gitignore 처리되어 있다.

취약/패치 주소

패치 전후 쌍의 Bindiff 유사도: 0.68.

파일

• WRITEUP.md — 전체 리버스 엔지니어링 분석 문서 (데이터 흐름, 수정 패치, PCC 내부 문제이지 앱 서명 내부 문제가 아닌 이유)
• WHY-NOT-SIDELOADING.md — 이 CVE가 TrollStore 스타일 익스플로잇으로 전환될 수 없는 이유를 설명하는 짧은 위협 모델 코다
• NOTES.md — 분석 스크래치패드
• CVE-2026-43813.txt — 원본 CVE 설명 (VulDB에서 그대로 인용)
• releases.txt — 빌드 ID를 시간순으로 정리

참고

이 연구는 MiniMax-M3의 지원을 크게 받았다. 분석 문서를 읽을 때 이 점을 유의하라 — 어떤 분석도 독립적으로 검증되지 않았으며, 인용된 디컴파일 결과, 주소 또는 유사도 점수는 신뢰하기 전에 다시 확인해야 한다.