Apple a corrigé une vulnérabilité de sécurité référencée CVE-2026-20685 dans Private Cloud Compute (PCC), l’infrastructure cloud utilisée par Apple Intelligence pour traiter certaines requêtes trop complexes pour être exécutées directement sur les appareils.
La faille, découverte par le chercheur Drinor Selmanaj de Sentry Security, concernait le traitement des chemins de fichiers lors du démarrage d’un nœud PCC. Elle pouvait permettre à un attaquant disposant d’une position privilégiée sur le réseau de provoquer une divulgation d’informations sensibles.
Apple a corrigé le problème dans PCC Release 5E290.3 et les versions ultérieures. La vulnérabilité est classée avec un score CVSS 3.1 de 6,5, soit une gravité moyenne.
Pour consulter les informations techniques publiées par Apple, les chercheurs peuvent notamment consulter les notes de version officielles de Private Cloud Compute.
Private Cloud Compute, une infrastructure centrale pour Apple Intelligence
Private Cloud Compute constitue l’infrastructure serveur d’Apple destinée aux fonctionnalités d’Apple Intelligence qui nécessitent davantage de puissance de calcul que celle disponible directement sur un iPhone, un iPad ou un Mac.
Apple explique que PCC repose notamment sur trois principes : le traitement sans état, l’attestation cryptographique des logiciels exécutés sur les serveurs et des mécanismes strictement contrôlés pour l’observabilité et la journalisation.
Dans son architecture, Apple cherche notamment à empêcher que les données utilisateur restent accessibles après le traitement d’une requête. Le nœud PCC constitue ainsi la frontière de confiance au sein de laquelle les données sont traitées.
Cette architecture explique pourquoi une vulnérabilité touchant les mécanismes de démarrage, de stockage ou de journalisation peut avoir des conséquences importantes sur les garanties de confidentialité annoncées pour PCC.
Une faille de traversée de chemin dans darwin-init
Selon les recherches de Sentry Security, la vulnérabilité se trouvait dans darwin-init, un composant exécuté très tôt lors du démarrage d’un nœud PCC.
Ce processus possède notamment la responsabilité de récupérer et d’installer les composants logiciels appelés cryptexes avant le redémarrage de l’espace utilisateur. Sentry précise que darwin-init est le premier processus utilisateur lancé lors du démarrage et qu’il fonctionne avec les privilèges root.
Le problème venait du traitement des archives téléchargées. Le système sélectionnait d’abord un extracteur en fonction des premiers octets du fichier. Certaines archives pouvaient alors être orientées vers une fonction d’extraction générique.
Cette fonction ne validait pas correctement les noms de chemins contenus dans l’archive avant de les ajouter au répertoire de destination. Selon Sentry, cette faiblesse permettait d’exploiter une technique classique de path traversal, également connue sous le nom de Zip Slip, afin de sortir du répertoire d’extraction prévu.
Le CWE-22, consacré à la limitation incorrecte d’un chemin vers un répertoire restreint, fait d’ailleurs partie des classifications associées à cette vulnérabilité dans la base du NIST.
Des fichiers pouvaient être écrits avec les privilèges root
L’analyse publiée par Sentry montre que le problème ne se limitait pas à une simple lecture de fichiers.
En laboratoire, le chercheur a démontré qu’une archive spécialement construite pouvait provoquer l’écriture de fichiers en dehors du répertoire d’extraction prévu. Les fichiers pouvaient notamment être déposés dans une partie persistante du volume de données du nœud.
Le point particulièrement important est que cette opération intervenait pendant la phase de démarrage, alors que darwin-init fonctionnait avec les privilèges root. Sentry a ainsi réussi à démontrer que le fichier créé persistait après le redémarrage de l’espace utilisateur.
L’exploitation a toutefois été réalisée exclusivement dans le Virtual Research Environment (VRE) d’Apple, l’environnement spécialement conçu pour permettre aux chercheurs d’étudier la sécurité de Private Cloud Compute. Aucun test n’a été effectué sur l’infrastructure PCC de production.
La télémétrie d’inférence IA pouvait également être redirigée
Le chercheur a ensuite étudié ce qu’il était possible de faire avec cette capacité d’écriture.
L’une des démonstrations concernait splunkloggingd, un composant interne chargé de transférer certains journaux et éléments de télémétrie. Selon Sentry, une configuration malveillante pouvait être déposée à un emplacement surveillé par ce service afin de modifier sa destination.
Dans l’environnement de recherche, cette technique a permis de rediriger vers un serveur contrôlé par le chercheur des données de télémétrie provenant notamment de composants PCC.
Lorsque des requêtes d’inférence étaient exécutées, certaines métadonnées associées aux traitements apparaissaient également dans les données observées. Sentry mentionne notamment des informations telles que des identifiants de requêtes, des types de charge de travail et des métriques liées au traitement des jetons.
Le chercheur a notamment observé une corrélation entre la taille des requêtes et certains compteurs de jetons, ainsi que des informations relatives à la latence et au traitement des modèles.
Il est important de préciser que ces résultats proviennent de l’environnement de recherche d’Apple et ne constituent pas la démonstration d’une compromission de données d’utilisateurs réels dans l’infrastructure PCC de production.
Une limite identifiée dans le mécanisme d’attestation
L’étude de Sentry met également en évidence une autre caractéristique intéressante de l’architecture PCC.
Le mécanisme d’attestation vérifie que le nœud exécute les composants logiciels attendus. Cependant, les expérimentations du chercheur suggèrent que certains fichiers présents sur le volume de données accessible en écriture ne sont pas mesurés par la chaîne d’attestation.
Dans son environnement de recherche, Sentry a comparé des démarrages propres et des démarrages contenant les modifications introduites par son scénario. Les composants logiciels mesurés par l’attestation apparaissaient identiques, alors que l’état du volume de données accessible en écriture avait changé.
Cette observation illustre un problème plus général : vérifier l’intégrité des logiciels installés ne garantit pas nécessairement que tous les éléments persistants susceptibles d’influencer leur comportement sont eux-mêmes intègres.
Apple documente publiquement le fonctionnement et les objectifs de son système d’attestation et de transparence pour Private Cloud Compute dans sa documentation de sécurité.
Une vulnérabilité corrigée par Apple
Apple a classé CVE-2026-20685 comme une vulnérabilité de divulgation d’informations. Le score CVSS 3.1 est de 6,5, avec un vecteur d’attaque nécessitant une position réseau adjacente, mais sans privilèges ni interaction utilisateur selon les données publiées par le NVD.
La vulnérabilité affectait les versions de Private Cloud Compute antérieures à 5E290.3. Apple indique que le problème a été corrigé grâce à une amélioration de la validation du traitement des chemins.
Le correctif est donc disponible depuis PCC Release 5E290.3.
Une récompense de 150 000 dollars pour le chercheur
La découverte a également été reconnue dans le cadre du programme de sécurité d’Apple.
Selon Sentry Security, Drinor Selmanaj a reçu une récompense de 150 000 dollars pour ses travaux sur CVE-2026-20685. Apple a confirmé la vulnérabilité et reconnu la contribution du chercheur dans le cadre de son programme Apple Security Bounty.
La découverte montre également l’intérêt du Virtual Research Environment mis à disposition par Apple. Les chercheurs peuvent y analyser l’architecture PCC et tester leurs hypothèses sans intervenir sur l’infrastructure de production.
Ce qu’il faut retenir de CVE-2026-20685
Cette vulnérabilité rappelle que la sécurité d’une infrastructure d’IA ne dépend pas uniquement du modèle utilisé. Les composants périphériques — démarrage, extraction d’archives, stockage, journalisation, configuration et mécanismes d’attestation — constituent eux aussi des surfaces d’attaque importantes.
Dans le cas de CVE-2026-20685, une faiblesse de traitement des chemins dans un composant exécuté avec des privilèges élevés pouvait avoir des conséquences sur l’intégrité du nœud et sur les mécanismes de télémétrie.
Apple a corrigé la vulnérabilité dans PCC 5E290.3 et les versions ultérieures. Les informations officielles restent disponibles dans la documentation de sécurité de Private Cloud Compute d’Apple et dans les notes de version PCC.
Les détails techniques de la recherche sont également disponibles dans l’analyse publiée par Sentry Security.
SOURCE : CybersecurityNews
