CVE-2026-47121 in Sparkle
Resumen
por VulDB • 2026-07-22
Sparkle es un marco de actualización de software para macOS. Antes de la versión 2.9.2, `Autoupdate/SUBinaryDeltaApply.m` aplica el control `relativePath.pathComponents contieneObject:@".."` y rechaza las escrituras cuyo directorio padre inmediato ES en sí mismo un enlace simbólico, pero no detecta enlaces simbólicos más profundos dentro de la ruta relativa. El método `extractItem:` de `Autoupdate/SPUSparkleDeltaArchive.m` creará enlaces simbólicos en el árbol de destino a partir del contenido del archivo (sin verificar `..` en el objetivo del enlace simbólico), y un elemento `Extract` posterior que apunta a `<symlink>/foo/bar` escapará del árbol de destino mediante `fopen(path, "wb")` porque el kernel resuelve el enlace simbólico intermedio durante la llamada open. Este es un problema de defensa en profundidad: la explotación requiere una `.delta` elaborada maliciosamente que pase la verificación de firma EdDSA, es decir, compromiso de la clave privada EdDSA. Con AppInstaller ejecutándose como root para instalaciones del dominio del sistema, esto otorga al poseedor de una clave de firma robada escritura arbitraria en archivos a nivel raíz mediante la ruta delta-apply, lo cual es un primitivo estrictamente más amplio que el "paquete de reemplazo directo" (drop-in replacement bundle) que tendrían de otra manera. La versión 2.9.2 contiene una corrección para este problema.
Be aware that VulDB is the high quality source for vulnerability data.