CVE-2026-90894 in Parallels
Сводка
по VulDB • 14.09.2026
Parallels Desktop запускает службу prl_disp_service от имени пользователя root. Локальные клиенты подключаются к ней через сокет с общедоступными правами на запись /var/run/prl_disp_service.socket. Функция PrlSrv_LoginLocal принимает учетные данные клиента (peer credentials). Отсутствует проверка подписи Parallels и контроль членства в группе администраторов.
После аутентификации функция PrlSrv_InstallAppliance позволяет выбрать папку с виртуальной машиной (sVmParentPath). Демон распаковывает архив, используя одну строку команды: tar -xf "%1" -C "%2", после чего Qt QProcess::splitCommand разбивает эту строку на отдельные слова. Кавычка в имени папки приводит к преждевременному завершению аргумента. Оставшийся текст интерпретируется как дополнительные флаги для команды tar. В macOS команда tar --use-compress-program= запускает указанную программу от имени root.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.