mas0nshi/cve-2026-112445Proof-of-Concept für CVE-2026-112445, eine lokale Rechteausweitung unter macOS, bei der ein unprivilegierter Konsolenbenutzer den launchd-Job com.apple.xpc.uscwoap und TIOCSTI missbraucht, um Root-Rechte zu erlangen.
Im Jahr 2020 stellte jemand auf GitHub eine Frage: Was ist uscwoap? macOS war bereits auf zsh umgestiegen – warum rief com.apple.xpc.uscwoap also immer noch Bash auf?
Eine Antwort zeigte die Konfiguration des Jobs. Das Flag BootShell war gesetzt, und alle drei Standardströme waren mit der Konsole verbunden. Darauf aufbauend vermutete der Kommentator, dass der Job am Hochfahren des Systems aus dem Einzelbenutzermodus beteiligt sein könnte.
Die Konfiguration für com.apple.xpc.uscwoap befindet sich im Systemverzeichnis für LaunchDaemons. Die relevanten Felder sind unten aufgeführt:
Label = com.apple.xpc.uscwoap
BootShell = true
ProcessType = Interactive
Program = /bin/bash
ProgramArguments = [bash, -sh]
StandardInPath = /dev/console
StandardOutPath = /dev/console
StandardErrorPath = /dev/console
Der Job gehört zur Systemdomäne von launchd und gibt kein weniger privilegiertes Konto für die Ausführung an, sodass Bash als root läuft. StandardInPath verbindet seine Standardeingabe mit /dev/console. Bash interpretiert die Eingabe, die es von diesem Gerät erhält, als Befehle.
Ein Nicht-Administratorkonto, das an der aktiven grafischen Konsole angemeldet ist, kann diesen Job über die Job-Steuerungsschnittstelle von launchd ohne Administratoranmeldedaten starten. Der daraus resultierende Bash-Prozess läuft mit UID 0. Trotz des Flags BootShell ist dieser Startweg auch in einer normalen Desktop-Sitzung verfügbar.
Die root-Shell erhält ihre Befehle von /dev/console. In dieser grafischen Anmeldesitzung gehört das Gerät dem Nicht-Administratorkonto, während der Bash-Prozess, der Befehle daraus liest, als root läuft. Somit trennt eine Privilegiengrenze die Quelle der Eingabe von dem Prozess, der sie ausführt.
Terminalausgabe und die Terminal-Eingabewarteschlange dienen unterschiedlichen Zwecken: Erstere zeigt Text an, während Letztere Zeichen hält, die darauf warten, von einem Programm gelesen zu werden. Ein Prozess, der die Eingabewarteschlange beeinflussen kann, kann daher beeinflussen, was Bash von der Standardeingabe liest.
TIOCSTI ist eine Terminalschnittstelle zur Simulation von Eingaben, indem Zeichen in die Eingabewarteschlange eingefügt werden. Auf betroffenen Builds kann ein Prozess, der unter dem Konto des aktuellen Konsolenbenutzers läuft, diesen Mechanismus nutzen, um die Eingabe auf /dev/console zu beeinflussen. Die vom Systemjob gestartete root-Shell liest diese Zeichen vom selben Gerät.
Bash interpretiert die Zeichen als Befehle und führt sie mit seinen eigenen root-Privilegien aus. Dieser Eingabeweg führt keine Administratorautorisierungsprüfung für den Prozess durch, der die Zeichen liefert, sodass Eingaben eines unprivilegierten Benutzers zu Befehlen werden, die als root ausgeführt werden.
Apple hat diesem Problem CVE-2026-112445 zugewiesen, die Kennung jedoch nicht in seine Sicherheitsmitteilung aufgenommen. Der Grund für die Auslassung ist unbekannt.
macOS 27.2 entfernt die Konfiguration com.apple.xpc.uscwoap.