CVE-2026-43783: демон DesktopServicesHelper в macOS 26.5 позволил получить root через XPC-запрос

В macOS 26.5 была выявлена и закрыта уязвимость локального повышения привилегий (LPE) CVE-2026-43783. Её обнаружил Илья Андр из команды PT Maze, изучая, как Finder взаимодействует с iCloud-файлами. Объектом исследования стал демон DesktopServicesHelper — системный компонент, который автоматически «чинит» права доступа к файлам в iCloud. Любопытство исследователя привело к неожиданному результату: демон оказался готов исправлять права на что угодно, включая системные директории, что открывало путь к получению root. Кейс важен потому, что речь идёт не о редкой экзотической конфигурации, а о штатном компоненте macOS, который работает с высокими привилегиями. Ошибка в логике проверки запросов к такому демону превращает его в удобный инструмент для атакующего, уже имеющего доступ к системе.

Подробности

DesktopServicesHelper — это демон, который Finder использует для восстановления корректных прав на файлы iCloud. Поскольку такая операция требует привилегий, демон общается с остальной системой через XPC-запросы. Исследователь разобрал внутреннее устройство демона и выяснил, что проверка поступающих запросов недостаточна: демон не ограничивал область применения операции «починки» прав, позволяя указать произвольные пути, в том числе системные директории. Итог — достаточно было одного XPC-запроса, чтобы изменить права на критичные объекты файловой системы и тем самым повысить привилегии до root. Уязвимость получила идентификатор CVE-2026-43783 и класс LPE (Local Privilege Escalation): она требует локального доступа к устройству, но не требует взаимодействия с пользователем в духе клика по ссылке или запуска вложения. Отдельно стоит отметить, что уязвимость была не только найдена, но и помогла быть закрытой — производитель выпустил исправление. Затронута версия macOS 26.5; пользователям более ранних сборок, где компонент также присутствует, следует ориентироваться на официальные рекомендации Apple по обновлению.

Что делать

- Обновите macOS до актуальной версии, в которой закрыта CVE-2026-43783. Проверьте обновления через «Системные настройки» → «Основное» → «Обновление ПО». - Не откладывайте установку патчей на корпоративных Mac: локальное повышение привилегий особенно опасно в связке с другими уязвимостями, когда атакующий уже получил начальный доступ к системе. - Ограничьте количество локальных пользователей и их права: LPE-уязвимости эксплуатируются после первичного закрепления в системе, поэтому минимизация учетных записей снижает поверхность атаки. - Ведите инвентаризацию версий macOS в парке устройств, чтобы оперативно выявлять машины, которые остаются без обновлений. - Используйте решения класса EDR для мониторинга аномальных обращений к системным директориям и подозрительной активности XPC-сервисов. История CVE-2026-43783 — хорошее напоминание о том, что привилегированные системные демоны требуют такой же строгой проверки входных данных, как и любой публичный API, а своевременное обновление ОС остаётся базовой мерой защиты.

Источник: Positive Technologies Blog