セキュリティ研究者のDrinor Selmanaj氏は、Appleの「Private Cloud Compute(PCC)」に存在するパストラバーサル脆弱性(CVE-2026-20685)を公表しました。この脆弱性を悪用すると、特権を持つネットワーク攻撃者がノードのブート時に、攻撃者が制御するファイルをrootとして書き込むことが可能になります。
Hacking& Cracking
この欠陥はApple Intelligenceのクラウド推論インフラに影響します。Appleは本問題をPCCリリース5E290.3以降で修正済みで、情報漏洩の脆弱性としてCVSSスコア6.5と評価しています。
Apple Private Cloud Computeのパストラバーサル欠陥
PCCは、デバイス単位のプライバシー保護をクラウド推論にまで拡張することを目的として設計されています。そのモデルには、ステートレス処理、暗号によるソフトウェア認証(アテステーション)、制御されたテレメトリのエクスポートなどが組み込まれています。今回の発見が重大なのは、強化されたランタイムが起動する前のプロビジョニング段階を標的にしている点です。
脆弱なコンポーネントであるdarwin-initはrootとして動作し、起動中のPCCノード上で最初に実行されるユーザー空間プロセスです。設定情報を取得し、システムのcryptexをダウンロードして展開・インストールした後、ユーザー空間の再起動をトリガーして稼働状態に移行します。この間、定常状態の保護機能が有効化される前に、永続データボリュームへの書き込みが可能になります。
Sentryの調査によると、darwin-initはアーティファクトの先頭4バイトのみを判定材料とする展開処理を使用していました。Apple固有の署名と一致しないアーカイブは、汎用のlibarchive展開経路をたどることになります。
この処理はアーカイブのエントリ名を検証・正規化しないまま出力ディレクトリに連結するため、ディレクトリトラバーサルのシーケンスによって本来意図された展開先から逸脱できてしまいます。
研究者は、細工したアーカイブによって、構造的には有効なcryptexバンドルの体裁を保ちながら、永続的かつ書き込み可能な場所である/var/dbにファイルを配置できることを実証しました。
この正当なバンドルはインストール時のチェックを通過し、再起動を正常に完了させることができました。研究環境では、このペイロードが再起動後も残存し、darwin-initが意図されたディレクトリの外にroot権限でファイルを書き込んでいたことが確認されました。
この概念実証は、機密性への影響も浮き彫りにしました。研究者は、PCCの内部テレメトリ転送プロセスであるsplunkloggingdが使用する設定ファイルを書き換えることで、選択したログを自身の管理下にあるエンドポイントへリダイレクトさせました。
取得できたデータにはテレメトリとリクエストのメタデータが含まれており、推論のテストではトークン数、タイミング情報、ワークロードの識別子が明らかになりました。こうしたメタデータは、プロンプトの内容そのものが直接漏洩しない場合でも、AIリクエストの特性を露呈させる可能性があります。
注目すべき成果の一つは、アテステーションに存在する明らかな死角の発見です。研究者は、侵害を受けたブートイメージとクリーンなブートイメージの両方が、評価対象となるソフトウェアアテステーションのフィールドにおいて同一の結果を生成する一方で、書き込み可能なデータボリューム内の差異は測定されていないことを突き止めました。
これは、PCCのアテステーションがインストールされたソフトウェアを検証してはいるものの、サービスの挙動に影響を与えうるすべてのランタイム設定ファイルまでは必ずしも検証対象としていないことを示唆しています。
Appleは検証機能を強化することで、このパス処理の弱点に対処しました。PCCの運用担当者は、リリース5E290.3以降を導入し、プロビジョニングおよびその周辺のネットワーク経路へのアクセスを制限し、テレメトリ転送の設定に不正な変更がないか確認する必要があります。
また研究者は、起動時の展開処理、永続データボリューム、コードに含まれない設定情報についても、機密コンピューティングにおける信頼境界を構成する重要な要素として捉えるべきです。
Selmanaj氏は、責任ある開示のルールに則り、Appleの仮想研究環境(Virtual Research Environment)内で本調査を実施しました。AppleはSecurity Bountyプログラムを通じてこの報告を認定し、Selmanaj氏に150,000ドルを授与しました。
SecurityProducts & Services
今回の調査は本番システムを標的としたものではありません。この事例は、AIセキュリティがモデルの挙動だけにとどまらないことを改めて示しています。よく知られたアーカイブ展開の脆弱性であっても、推論インフラやプライバシー保護の仕組みを脅かしかねないのです。
新たなフィッシングやマルウェアがビジネスを侵害する前に阻止しましょう。 世界15,000のSOCが活用するライブインテリジェンスを統合
翻訳元: https://gbhackers.com/apple-private-cloud-compute-path-traversal-flaw/
