mas0nshi/cve-2026-112445Prueba de concepto para CVE-2026-112445, una escalada de privilegios local en macOS en la que un usuario de consola sin privilegios abusa del trabajo launchd com.apple.xpc.uscwoap y de TIOCSTI para obtener root.
En 2020, alguien planteó una pregunta en GitHub: ¿Qué es uscwoap? macOS ya había cambiado a zsh, así que ¿por qué com.apple.xpc.uscwoap seguía invocando Bash?
Una respuesta mostraba la configuración del trabajo. Tenía el flag BootShell establecido y conectaba los tres flujos estándar a la consola. Basándose en esto, el comentarista sugirió que el trabajo podría estar involucrado en arrancar el sistema desde el modo de usuario único.
La configuración de com.apple.xpc.uscwoap reside en el directorio system LaunchDaemons. Los campos relevantes se muestran a continuación:
Label = com.apple.xpc.uscwoap
BootShell = true
ProcessType = Interactive
Program = /bin/bash
ProgramArguments = [bash, -sh]
StandardInPath = /dev/console
StandardOutPath = /dev/console
StandardErrorPath = /dev/console
El trabajo pertenece al dominio del sistema de launchd y no especifica una cuenta con menos privilegios bajo la cual ejecutarse, por lo que Bash se ejecuta como root. StandardInPath conecta su entrada estándar a /dev/console. Bash interpreta la entrada que recibe de este dispositivo como comandos.
Una cuenta que no es de administrador e inició sesión en la consola gráfica activa puede iniciar este trabajo a través de la interfaz de control de trabajos de launchd sin credenciales de administrador. El proceso Bash resultante se ejecuta con UID 0. A pesar del flag BootShell, esta ruta de inicio también está disponible en una sesión de escritorio normal.
El shell de root recibe sus comandos desde /dev/console. En esta sesión de inicio de sesión gráfico, el dispositivo es propiedad de la cuenta que no es de administrador, mientras que el proceso Bash que lee comandos desde él se ejecuta como root. Por lo tanto, un límite de privilegios separa la fuente de la entrada del proceso que la ejecuta.
La salida del terminal y la cola de entrada del terminal cumplen propósitos diferentes: la primera muestra texto, mientras que la segunda contiene caracteres en espera de ser leídos por un programa. Un proceso que puede influir en la cola de entrada puede, por lo tanto, influir en lo que Bash lee desde la entrada estándar.
TIOCSTI es una interfaz de terminal para simular entrada insertando caracteres en la cola de entrada. En las compilaciones afectadas, un proceso que se ejecuta bajo la cuenta del usuario actual de la consola puede usar este mecanismo para influir en la entrada en /dev/console. El shell de root iniciado por el trabajo del sistema lee esos caracteres desde el mismo dispositivo.
Bash interpreta los caracteres como comandos y los ejecuta con sus propios privilegios de root. Esta ruta de entrada no realiza ninguna comprobación de autorización de administrador sobre el proceso que suministra los caracteres, lo que permite que la entrada de un usuario sin privilegios se convierta en comandos ejecutados como root.
Apple asignó CVE-2026-112445 a este problema, pero no incluyó el identificador en su aviso de seguridad. Se desconoce el motivo de la omisión.
macOS 27.2 elimina la configuración com.apple.xpc.uscwoap.