Parallels高危漏洞的奇葩修复指南

Parallels Desktop的制造商已针对影响其Parallels Desktop 16 for Mac软件和所有旧版本的高危权限提升漏洞发布了解决方法。研究人员在4月份首次发现该漏洞的5个月后，提出了缓解建议。

据该公司称，Parallels Desktop现在由私募股权巨头KKR所有，目前拥有700万用户。它使得Mac用户可以在他们的macOS上运行Windows、Linux和其他操作系统。

该漏洞允许在Parallels虚拟机（VM）中运行的恶意软件访问在软件默认配置中共享的macOS文件。该软件制造商表示，建议的修复需要由最终用户手动执行，并且可能会给某些人带来“不便”，同时还会降低产品性能。

周三的安全公告中首先广泛披露了该漏洞的详细信息。该漏洞（CVE-2021-34864）是由Parallels的WinAppHelper组件中的不当访问控制引起的。据Parallels称，该漏洞与该软件的Parallels Tools相关，Parallels Tools是主机macOS与虚拟机操作系统之间通信的代理。

一个易于利用的漏洞

周三发布的另一份安全公告称：“这个漏洞是由于缺乏适当的访问控制造成的。攻击者可以利用此漏洞在虚拟机管理程序的上下文中提升权限并执行任意代码。”

通用漏洞评分系统3.0版将该漏洞的严重性评为高（8.8）。该公告还警告说，该漏洞利用所需的复杂程度“很低”。

Parallels 解释道：“默认情况下，Parallels Desktop在Mac和VM之间共享文件和文件夹，因此用户可以轻松地从虚拟机中运行的应用程序中打开macOS文件并将文档保存到Mac。”“此功能向VM公开用户主文件夹。该文件夹可能包含恶意软件可以访问的配置文件、来自不同应用程序的缓存等。”

Parallels建议用户通过重新配置软件或升级到最新版本（8月10日发布的Parallels Desktop 17 for Mac）来缓解该漏洞。

根据漏洞的摘要描述：“Parallels Desktop 17 for Mac以及更新的版本不受影响。默认情况下，整个主文件夹不再与虚拟机共享，只有选定的