redinpulse/cve-2026-84568PoC de laboratoire reproductibles pour automountd sur macOS et analyse guidée par le code source pour CVE-2026-84568 (traversée de chemin fstype menant à une exécution de code en tant que root) et CVE-2026-84570 (contournement de Gatekeeper).
Une analyse publique, guidée par les sources, de CVE-2026-84568 et CVE-2026-84570, avec des preuves réversibles pour l'entrée LDAP/OD, la livraison NFS, la répartition des helpers, le comportement de Gatekeeper et la frontière du nœud de périphérique.
Statut de publication — octobre 2026. Apple a corrigé les deux vulnérabilités le 14 septembre 2026 dans macOS Sequoia 15.8, macOS Tahoe 26.7 et macOS Golden Gate 27. Le reproducteur de ce dépôt est destiné uniquement à un laboratoire isolé et autorisé contenant un Mac volontairement non corrigé.
Statut de validation. Les validateurs embarqués exécutés sur l'hôte ont été exécutés avec succès sur un hôte de laboratoire macOS 26.4 affecté (build 25E246, arm64). Le test de répartition des helpers, la chaîne complète de livraison NFS en boucle locale, la sonde de chemin d'accès/identifiants, le différentiel Gatekeeper et le test de frontière nodev/périphérique ont tous renvoyé PASS. Dans le test Gatekeeper, les évaluations étaient activées ; l'application était structurellement valide mais signée ad hoc sans Team ID ; l'évaluation explicite par spctl l'a rejetée ; le montage NFS n'avait ni noexec ni quarantaine ; et LaunchServices l'a exécutée sans étape d'approbation. Chaque validateur a également renvoyé cleanup_result=PASS, et une vérification indépendante après exécution a confirmé que ses enregistrements de répertoire temporaire, ses montages, ses fichiers et ses modifications de /etc/exports avaient été supprimés ou restaurés. Le harnais Python a été testé séparément contre un serveur OpenLDAP temporaire avec le véritable schéma d'attributs automount/Apple : les routes automountKey et apple-user-homeurl ont toutes deux réussi les vérifications de création/relecture/expiration/restauration. Ces observations caractérisent cette build affectée et le harnais inclus ; elles ne constituent pas des affirmations concernant les versions corrigées.
Crédit de recherche : Mr.Gedik (@h4ck2s3c) ; CVE-2026-84568 est publiquement attribuée à Mr.Gedik, et CVE-2026-84570 à Mr.Gedik, dans les avis d'Apple.
Il s'agit de la version publique de la recherche. Elle ne contient que des informations étayées par les avis publiés d'Apple, le code open source d'Apple et le matériel de laboratoire reproductible inclus. Les identifiants d'affaires privés, les communications privées, les artefacts non publics et les recherches sans rapport sont volontairement exclus.
Les deux CVE partagent une surface d'attaque mais représentent des causes racines indépendantes :
| CVE | Impact publié par Apple | Frontière côté client |
|---|---|---|
| CVE-2026-84568 | Un attaquant contrôlant un répertoire réseau peut exécuter du code arbitraire avec les privilèges root | Un fstype contrôlé par le répertoire influençait le chemin de l'exécutable sélectionné par automountd |
| CVE-2026-84570 | Une app peut contourner les vérifications de Gatekeeper | Un automontage NFS contrôlé par le répertoire franchissait à la fois la frontière de provenance des applications et celle de la politique des nœuds de périphérique |
Apple liste les deux problèmes sous autofs dans le contenu de sécurité pour macOS Golden Gate 27, macOS Tahoe 26.7 et macOS Sequoia 15.8.
Les cartes d'automontage de macOS sont des données de contrôle exécutables. Une ligne de carte sélectionne un type de système de fichiers, fournit des options de montage, identifie une ressource et influence en fin de compte la répartition privilégiée des montages. Avant les mises à jour de septembre 2026, deux défaillances de validation permettaient à des données fournies par un répertoire de franchir des frontières de sécurité sur le client :
fstype forgé pouvait s'échapper de l'espace de noms prévu des helpers /sbin/mount_<type> et se résoudre vers un exécutable livré via NFS.nodev attendue. Le montage réseau résultant n'avait également ni politique noexec ni politique de quarantaine, de sorte qu'une app ayant échoué à une évaluation explicite de Gatekeeper pouvait tout de même être lancée depuis celui-ci.Ce sont des observations liées, et non des mécanismes interchangeables. nodev contrôle si les vnodes de périphériques spéciaux sont interprétés ; il n'implémente pas Gatekeeper. noexec contrôle l'exécution à la frontière du VFS. Gatekeeper évalue séparément la confiance et la provenance des applications. Le validateur de CVE-2026-84570 rapporte chaque frontière indépendamment afin qu'un indicateur nodev manquant ne soit jamais présenté comme la preuve à lui seul d'un contournement de Gatekeeper.
L'accès en écriture au répertoire est un prérequis d'entrée, et non l'autorité qui en résulte. Modifier un attribut d'automontage ou de répertoire personnel d'utilisateur n'équivaut pas à choisir un chemin d'exécutable sur chaque Mac consommateur ni à affaiblir la politique du noyau d'un montage NFS. Ces transformations se produisent sur le client.
stat() direct effectué par un compte non privilégié a renvoyé ENOTDIR ; un résultat realpath() ou stat() non privilégié ne constitue donc pas ici un proxy valide pour automountd.nodev démontré pour CVE-2026-84570. La chaîne complète 84568 a réussi alors que son montage de livraison conservait nodev et nosuid.La configuration d'automontage par défaut expose des entrées adossées à des répertoires sous /home :
/etc/auto_master: /home auto_home -nobrowse,hidefromfinder
/etc/auto_home: +auto_home
/etc/auto_home: +/usr/libexec/od_user_homes
La première inclusion résout les enregistrements automount. L'inclusion de la carte exécutable invoque od_user_homes, qui résout les informations de répertoire personnel de l'utilisateur et émet une ligne de carte. Les deux routes convergent vers l'analyseur automount.