Параллельные снимки рабочего стола позволяют неадмин Мак-пользователям получать корень, но Intel Macs не может устроить фикс

Параллельные рабочие столы для Mac имеют недостаток, который позволяет обычный код местного счета запускать как коренной, самый высокий уровень доступа на Mac, компания программного обеспечения JFrog сказала на этой неделе. Для атаки нужен код, который уже работает на машине как обычный пользователь, так что он не работает над сетью. JFrog говорит, что фиксация в параллелическом рабочем столе 27 — версия, которую Intel Macs не может установить. Юваль Моравчик, возглавляющий группу по изучению уязвимости JFrog, опубликовал это заключение во вторник и назвал его ParaShells. Дефект отслеживается как CVE-2026-90894, идентификатор JFrog присвоен сам себе, и JFрог оценивает его 7,8 из 10. Параллельные рабочие столы запускают Windows и Linux внутри виртуальных машин на Mac. Она устанавливает фоновую службу под названием prl_disp_сервис, которая работает как корневой, потому что ее работа включает создание сети хостов и распаковку виртуальных машинных пакетов. Недостаток находится на стороне продукта Мака, так что машина под угрозой - это сам Мак, а не виртуальные машины. На аппарате JFrog, который слушает сервис, был всемирно слышен, что означает любая программа на Mac может быть подключена к нему. Звонок входа, который следует за PrlSrv_Login Local, проверяет только документы на ядро для процесса соединения. Она не нуждается в параллельной подписи кода и работает для счета, который не является администратором. Для установки виртуального машинного оборудования сервис строит свою…