CVE-2026-90894

Parallels Desktop führt prl_disp_service als root aus. Lokale Clients erreichen ihn über den weltbeschreibbaren Socket /var/run/prl_disp_service.socket. PrlSrv_LoginLocal akzeptiert Peer-Anmeldeinformationen. Keine Parallels-Signatur. Keine Admin-Gruppe. Nach der Anmeldung ermöglicht PrlSrv_InstallAppliance die Auswahl des Appliance-Ordners (sVmParentPath). Der Daemon entpackt mit einer Zeichenkette, tar -xf "%1" -C "%2", anschließend zerlegt Qt QProcess::splitCommand diese Zeichenkette in Wörter. Ein Anführungszeichen im Ordnernamen schließt vorzeitig. Der übrig gebliebene Text wird zu zusätzlichen tar-Flags. macOS tar --use-compress-program= führt das benannte Programm als root aus.