In der beliebten Virtualisierungssoftware Parallels Desktop für macOS wurde eine gravierende Schwachstelle zur Rechteausweitung entdeckt. Wie Sicherheitsforscher von JFrog mitteilen, ermöglicht die als CVE-2026-90894 und unter dem Namen „ParaShells“ geführte Lücke normalen lokalen Benutzern, die vollständige Kontrolle über das Betriebssystem auf Root-Ebene zu übernehmen.
Socket-Rechte und ungeprüfte Clients als Einfallstor
Die Sicherheitslücke weist einen CVSS-Score von 7,8 auf. Nach Analysen von JFrog liegt die Ursache im Hintergrunddienst der Software, dem sogenannten Root-Daemon prl_disp_service. Dieser horcht auf der Unix-Domain-Socket /var/run/prl_disp_service.socket mit den weitreichenden Berechtigungen 0777, wodurch jeder lokale Prozess darauf zugreifen kann.
Erschwerend kommt hinzu, dass die Funktion PrlSrv_LoginLocal auch unsignierte Clients akzeptiert. Zwar erfolgt eine Überprüfung der Peer-Berechtigungen (Peercred), eine Prüfung der Apple Team-ID findet jedoch nicht statt. Angreifer benötigen daher weder ein Administratorkonto noch eine signierte Parallels-Anwendung, um mit dem Dienst zu kommunizieren.
Die eigentliche Ausnutzung geschieht über eine Befehlszeilen-Injektion (Argument-Injection) in den Systembefehl tar -xf "%1" -C "%2" unter Verwendung des Parameters --use-compress-program. Eine aktive virtuelle Maschine muss dafür nicht laufen. Den Forschern zufolge lässt sich so über einen simplen Einzeiler eine NOPASSWD-Konfiguration in das Verzeichnis /etc/sudoers.d schreiben, die sofort eine Root-Shell bereitstellt.
Gefahr für geteilte Rechner und Entwickler-Systeme
Mit Root-Zugriff können Angreifer Systemdateien manipulieren, Sicherheitsmechanismen aushebeln, private Daten einsehen und sich über launchd-Dienste dauerhaft im System einnisten. Besonders gefährdet sind Rechner mit mehreren lokalen Benutzerkonten – beispielsweise an Hochschulen, in Schulungsräumen oder in Unternehmensnetzwerken. Auch Entwickler-Laptops, auf denen Paketmanager wie Homebrew oder npm zum Einsatz kommen, stellen ein potenzielles Ziel für nachgelagerte Angriffe dar. Bislang sind nach Angaben von Sicherheitsbeobachtern noch keine aktiven Angriffe in freier Wildbahn bekannt.
Patch-Situation: Intel-Macs bleiben vorerst ungeschützt
Der Hersteller hat das Problem in Parallels Desktop 27.0.0 sowie im Folge-Build 27.0.1 (Build 58670) behoben. Betroffen sind alle Versionen vor Version 27.0.0, darunter Parallels Desktop 26.4.0 (Build 57513).
Für Besitzer älterer Hardware gibt es jedoch eine deutliche Einschränkung: Version 27 setzt zwingend einen Mac mit Apple Silicon (M-Serie) sowie mindestens macOS Sonoma 14.7 voraus. Nutzer von Intel-basierten Macs können das Update auf Version 27 nicht einspielen. Auch das jüngste Wartungsupdate der Vorversion, Parallels Desktop 26.4.2 (Build 57518), enthält die Fehlerbehebung nicht. Damit bleiben Intel-Systeme mit installierter Version 26.x verwundbar, solange der Hersteller keinen separaten Patch für diese Produktlinie nachreicht.
Handlungsempfehlungen für Nutzer
Nutzer von Apple-Silicon-Macs sollten die integrierte Update-Funktion von Parallels Desktop umgehend ausführen und sicherstellen, dass mindestens Version 27.0.0 oder neuer installiert ist. Wer Parallels Desktop auf einem Intel-Mac betreibt und das Gerät mit anderen Benutzern teilt, sollte unprivilegierten Konten den Zugriff entziehen oder die Software vorübergehend deaktivieren, bis Parallels ein Update für die 26er-Reihe bereitstellt.
Quellen: Borncity.com
