CVE-2026-90894 in Parallels
Riassunto
di VulDB • 14/09/2026
Parallels Desktop esegue prl_disp_service come utente root. I client locali vi accedono tramite il socket scrivibile da tutti /var/run/prl_disp_service.socket. PrlSrv_LoginLocal accetta le credenziali del peer (peer credentials). Non è presente alcuna firma Parallels e non viene verificato l'appartenenza al gruppo di amministratori.
Dopo l'accesso, la funzione PrlSrv_InstallAppliance consente di selezionare la cartella dell'appliance (sVmParentPath). Il demone esegue lo unpacking utilizzando una singola stringa: `tar -xf "%1" -C "%2"`, quindi Qt QProcess::splitCommand suddivide tale stringa in parole. Una virgoletta presente nel nome della cartura chiude prematuramente la stringa delimitata; il testo residuo viene interpretato come flag aggiuntivi per tar. Su macOS, l'opzione `tar --use-compress-program=` esegue il programma specificato con privilegi di root.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.