CVE-2026-38752
NiskieCVSS 2.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W funkcji evaluate() w pliku editors/awk.c w commit 371fe9 BusyBox występuje przepełnienie stosu. Atakujący może wykorzystać tę podatność, dostarczając spreparowany skrypt AWK, co prowadzi do odmowy usługi (DoS).
Ocena ryzyka
Ryzyko polega na możliwości zdalnego lub lokalnego wywołania awarii systemu przez przesłanie złośliwego skryptu AWK, co może zakłócić działanie usług krytycznych dla organizacji.
Rekomendacja
Zaleca się natychmiastową aktualizację BusyBox do wersji zawierającej poprawkę dla tego błędu lub zastosowanie tymczasowego rozwiązania, np. ograniczenie dostępu do interpretera AWK.
Inne podatności w BusyBox
Zobacz wszystkie- CVE-2017-16544Wysokie
W funkcji add_match w libbb/lineedit.c w BusyBox do wersji 1.27.2, funkcja autouzupełniania tabulatora nie sanitizuje nazw plików, co może prowadzić do wykonania dowolnych sekwencji ucieczki w terminalu.
- CVE-2011-5325Wysokie
Podatność na przejście do katalogu w implementacji tar w BusyBox przed wersją 1.22.0 v5 umożliwia zdalnym atakującym wskazywanie na pliki znajdujące się poza bieżącym katalogiem roboczym za pomocą symlinków.
- CVE-2016-2147Wysokie
Przepełnienie całkowite w kliencie DHCP (udhcpc) w BusyBox przed wersją 1.25.0 umożliwia zdalnym atakującym spowodowanie awarii (denial of service) poprzez złośliwie skonstruowaną nazwę domeny zakodowaną zgodnie z RFC1035, co prowadzi do zapisu poza granicami sterty.
- CVE-2016-6301Wysokie
Funkcja recv_and_process_client_pkt w pliku networking/ntpd.c w busybox umożliwia zdalnym atakującym spowodowanie odmowy usługi poprzez sfałszowany pakiet NTP, co prowadzi do pętli komunikacyjnej.
- CVE-2026-88841Niskie
Podatność w BusyBox dotyczy funkcji write_status_file() w narzędziu dpkg. Brak resetowania kursora pól między sekcjami pakietów prowadzi do odczytów poza zakresem oraz uszkodzenia pliku statusu podczas usuwania wielu pakietów.
- CVE-2022-48174Krytyczne
W busybox przed wersją 1.35 w pliku ash.c:6030 występuje podatność na przepełnienie stosu. W środowisku Internetu Pojazdów (IoV) może zostać wykorzystana do wykonania dowolnego kodu z poziomu polecenia.
- CVE-2026-88840Średnie
W bibliotece BusyBox TLS funkcja get_client_hello() odczytuje dane poza końcem bufora wejściowego podczas analizowania obciętej wiadomości ClientHello. Może to prowadzić do odczytu poza granicami bufora.
- CVE-2026-88839Średnie
W BusyBox funkcja tokenize() używana przy przetwarzaniu passwd/group odwołuje się do nieaktualnego wskaźnika końca po przycięciu, co powoduje zapis poza granicami bufora wskaźników sterty. Może to prowadzić do uszkodzenia pamięci.
- CVE-2026-88837Średnie
W BusyBox httpd hasła w formacie yescrypt ($y$) są traktowane jako zwykły tekst podczas uwierzytelniania Basic Authentication, co odwraca wynik sprawdzenia uwierzytelnienia. Może to pozwolić na nieautoryzowany dostęp.
- CVE-2026-88835Średnie
W BusyBox funkcja dpkg read_package_field() wykracza poza terminator NUL przy przetwarzaniu zniekształconych pakietów .deb, powodując odczyt poza granicami sterty. Może to prowadzić do ujawnienia danych lub awarii.
Oryginalny opis (angielski, źródło NVD)
A stack overflow in the evaluate() function (editors/awk.c) of BusyBox commit 371fe9 allows attackers to cause a Denial of Service (DoS) via supplying a crafted AWK script.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS