redinpulse/cve-2026-84568Reproduzierbare macOS-automountd-Lab-PoCs und quellcodegestützte Analyse für CVE-2026-84568 (fstype-Pfad-Traversierung bis zur Root-Codeausführung) und CVE-2026-84570 (Gatekeeper-Umgehung).
Eine öffentliche, quellengestützte Analyse von CVE-2026-84568 und CVE-2026-84570 mit reversiblen Nachweisen für LDAP/OD-Eingabe, NFS-Bereitstellung, Helper-Dispatch, Gatekeeper-Verhalten und die Geräteknoten-Grenze.
Veröffentlichungsstatus — Oktober 2026. Apple hat beide Schwachstellen am 14. September 2026 in macOS Sequoia 15.8, macOS Tahoe 26.7 und macOS Golden Gate 27 behoben. Der Reproduzierer in diesem Repository ist ausschließlich für ein isoliertes, autorisiertes Labor gedacht, das einen absichtlich ungepatchten Mac enthält.
Validierungsstatus. Die enthaltenen On-Host-Validatoren wurden erfolgreich auf einem betroffenen macOS 26.4 (Build 25E246, arm64) Labor-Host ausgeführt. Der Helper-Dispatch-Test, die vollständige Loopback-NFS-Bereitstellungskette, die Pfadnamen-/Credential-Sonde, das Gatekeeper-Differential und der nodev/Gerätegrenzen-Test lieferten alle PASS. Im Gatekeeper-Test waren Assessments aktiviert; die App war strukturell gültig, aber ad-hoc signiert ohne Team ID; eine explizite spctl-Bewertung lehnte sie ab; der NFS-Mount hatte weder noexec noch Quarantäne; und LaunchServices führte sie ohne Genehmigungsschritt aus. Jeder Validator lieferte zudem cleanup_result=PASS, und eine unabhängige Nachlaufprüfung bestätigte, dass seine temporären Verzeichniseinträge, Mounts, Dateien und /etc/exports-Änderungen entfernt oder wiederhergestellt wurden. Die Python-Harness wurde separat gegen einen temporären OpenLDAP-Server mit dem echten automount/Apple-Attributschema getestet: sowohl die automountKey- als auch die apple-user-homeurl-Route bestanden die Create/Readback/Timeout/Restore-Prüfungen. Diese Beobachtungen charakterisieren diesen betroffenen Build und die enthaltene Harness; sie sind keine Aussagen über gepatchte Releases.
Forschungsnachweis: Mr.Gedik (@h4ck2s3c); CVE-2026-84568 wird in Apples Advisories öffentlich Mr.Gedik zugeschrieben, und CVE-2026-84570 ebenfalls Mr.Gedik.
Dies ist die öffentliche Version der Forschung. Sie enthält nur Informationen, die durch Apples veröffentlichte Advisories, Apples Open-Source-Code und das enthaltene reproduzierbare Labormaterial gestützt werden. Private Fallbezeichner, private Kommunikation, nicht-öffentliche Artefakte und unabhängige Forschung sind absichtlich ausgeschlossen.
Die beiden CVEs teilen eine Angriffsfläche, stellen aber unabhängige Ursachen dar:
| CVE | Apples veröffentlichte Auswirkung | Client-seitige Grenze |
|---|---|---|
| CVE-2026-84568 | Ein Angreifer über ein Netzwerkverzeichnis kann beliebigen Code mit Root-Rechten ausführen | Ein verzeichniskontrollierter fstype beeinflusste den von automountd gewählten ausführbaren Pfad |
| CVE-2026-84570 | Eine App kann Gatekeeper-Prüfungen umgehen | Ein verzeichniskontrollierter NFS-Automount überschritt sowohl die Grenze der Anwendungsherkunft als auch die der Geräteknoten-Richtlinie |
Apple führt beide Probleme unter autofs in den Sicherheitshinweisen für macOS Golden Gate 27, macOS Tahoe 26.7 und macOS Sequoia 15.8 auf.
macOS-Automount-Maps sind ausführbare Steuerdaten. Eine Map-Zeile wählt einen Dateisystemtyp, liefert Mount-Optionen, identifiziert eine Ressource und beeinflusst letztlich den privilegierten Mount-Dispatch. Vor den Updates vom September 2026 erlaubten zwei Validierungsfehler, dass verzeichnisbereitgestellte Daten auf dem Client Sicherheitsgrenzen überschritten:
fstype konnte den vorgesehenen /sbin/mount_<type>-Helper-Namensraum verlassen und zu einer über NFS bereitgestellten ausführbaren Datei auflösen.nodev-Richtlinie aufheben. Der resultierende Netzwerk-Mount hatte zudem keine noexec- oder Quarantäne-Richtlinie, sodass eine App, die eine explizite Gatekeeper-Bewertung nicht bestand, dennoch von ihm gestartet werden konnte.Dies sind verwandte Beobachtungen, keine austauschbaren Mechanismen. nodev steuert, ob spezielle Geräte-Vnodes interpretiert werden; es implementiert nicht Gatekeeper. noexec steuert die Ausführung an der VFS-Grenze. Gatekeeper bewertet separat das Vertrauen und die Herkunft von Anwendungen. Der Validator für CVE-2026-84570 meldet jede Grenze unabhängig, damit ein fehlendes nodev-Flag niemals allein als Beweis für eine Gatekeeper-Umgehung dargestellt wird.
Schreibzugriff auf Verzeichnisse ist eine Einstiegsvoraussetzung, nicht die daraus resultierende Berechtigung. Das Ändern eines Automount- oder Benutzer-Home-Attributs ist nicht gleichbedeutend mit der Wahl eines ausführbaren Pfadnamens auf jedem konsumierenden Mac oder mit der Abschwächung der Kernel-Richtlinie eines NFS-Mounts. Diese Transformationen finden auf dem Client statt.
stat() durch ein unprivilegiertes Konto ENOTDIR zurückgab; ein unprivilegiertes realpath()- oder stat()-Ergebnis ist hier daher kein gültiger Proxy für automountd.nodev-Umgehung. Die vollständige 84568-Kette war erfolgreich, während ihr Delivery-Mount nodev und nosuid beibehielt.Die Standard-Automount-Konfiguration stellt verzeichnisgestützte Eingaben unter /home bereit:
/etc/auto_master: /home auto_home -nobrowse,hidefromfinder
/etc/auto_home: +auto_home
/etc/auto_home: +/usr/libexec/od_user_homes
Die erste Einbindung löst Automount-Datensätze auf. Die Einbindung der ausführbaren Zuordnung ruft od_user_homes auf, das Benutzer-Home-Informationen auflöst und eine Zuordnungszeile ausgibt. Beide Routen laufen im Automount-Parser zusammen.
Die öffentliche Testumgebung hält beide Verzeichnisformen explizit: