CVE-2026-49237 in Multipass
Zusammenfassung
von VulDB • 03.06.2026
Es wurde ein Problem in Canonical Multipass für macOS vor Version 1.16.3 entdeckt, das auf eine unvollständige Behebung von CVE-2025-5199 zurückzuführen ist. Während der Patch in Version 1.16.0 die Besitzverhältnisse des multipassd-Dämon-Binärprogramms auf root:wheel aktualisiert hat, behalten fünf gemeinsam im Verzeichnis abgelegte Binärprogramme (multipass, qemu-img, qemu-system-aarch64, qemu-system-x86_64 und sshfs_server) in /Library/Application Support/com.canonical.multipass/bin/ das Eigentum des installierenden Benutzers bei und bleiben beschreibbar. Da der root-LaunchDaemon (com.canonical.multipassd.plist) eine PATH-Umgebungsvariable konfiguriert, die dieses vom Benutzer schreibbare Verzeichnis priorisiert und diese Hilfsbinärprogramme über ihre reinen Namen aufruft, kann ein lokaler Angreifer ein Hilfsbinärprogramm (z. B. qemu-img) durch einen bösartigen Wrapper ersetzen. Wenn der root-Dämon das Binärprogramm anschließend während des normalen Betriebs auslöst (z. B. über multipass launch), wird der schadhafte Code mit Root-Berechtigungen ausgeführt, was zu einer lokalen Privilegieneskalation führt.
If you want to get best quality of vulnerability data, you may have to visit VulDB.