CVE-2026-38753
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
W BusyBox w wersji 1.38.0 wykryto podatność use-after-free w funkcji awk_sub() w pliku editors/awk.c. Atakujący może wykorzystać specjalnie spreparowany skrypt AWK, aby doprowadzić do odmowy usługi (DoS).
Ocena ryzyka
Ryzyko polega na możliwości zdalnego lub lokalnego wywołania awarii systemu poprzez uruchomienie złośliwego skryptu AWK, co może zakłócić działanie usług krytycznych.
Rekomendacja
Zaleca się natychmiastową aktualizację BusyBox do wersji nowszej niż 1.38.0, która zawiera poprawkę dla tej podatności. Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp do interpretera AWK tylko dla zaufanych skryptów.
Inne podatności w BusyBox
Zobacz wszystkie- CVE-2017-16544Wysokie
W funkcji add_match w libbb/lineedit.c w BusyBox do wersji 1.27.2, funkcja autouzupełniania tabulatora nie sanitizuje nazw plików, co może prowadzić do wykonania dowolnych sekwencji ucieczki w terminalu.
- CVE-2011-5325Wysokie
Podatność na przejście do katalogu w implementacji tar w BusyBox przed wersją 1.22.0 v5 umożliwia zdalnym atakującym wskazywanie na pliki znajdujące się poza bieżącym katalogiem roboczym za pomocą symlinków.
- CVE-2016-2147Wysokie
Przepełnienie całkowite w kliencie DHCP (udhcpc) w BusyBox przed wersją 1.25.0 umożliwia zdalnym atakującym spowodowanie awarii (denial of service) poprzez złośliwie skonstruowaną nazwę domeny zakodowaną zgodnie z RFC1035, co prowadzi do zapisu poza granicami sterty.
- CVE-2016-6301Wysokie
Funkcja recv_and_process_client_pkt w pliku networking/ntpd.c w busybox umożliwia zdalnym atakującym spowodowanie odmowy usługi poprzez sfałszowany pakiet NTP, co prowadzi do pętli komunikacyjnej.
- CVE-2022-48174Krytyczne
W busybox przed wersją 1.35 w pliku ash.c:6030 występuje podatność na przepełnienie stosu. W środowisku Internetu Pojazdów (IoV) może zostać wykorzystana do wykonania dowolnego kodu z poziomu polecenia.
- CVE-2026-76014Niskie
W BusyBox do wersji 1.30.1 wykryto podatność w pliku networking/wget.c, w komponencie FEATURE_WGET_TIMEOUT Handler. Manipulacja argumentem -T prowadzi do wyłuskania pustego wskaźnika (null pointer dereference). Atak wymaga dostępu lokalnego. Exploit został publicznie ujawniony, a dostępna jest poprawka (commit 83a40bf7a93c8ac093d33ab452222dd5b9eb57ff).
- CVE-2026-38755Niskie
W BusyBox w wersji 1.38.0 wykryto przepełnienie sterty w funkcji evalcommand() w pliku shell/ash.c. Podanie spreparowanego wejścia może umożliwić atakującemu spowodowanie odmowy usługi (DoS).
- CVE-2026-38754Średnie
Przepełnienie sterty w funkcji ifsbreakup() w shell/ash.c Busybox v1.38.0. Atakujący może spowodować odmowę usługi (DoS) poprzez dostarczenie spreparowanego wejścia.
- CVE-2026-38752Niskie
W funkcji evaluate() w pliku editors/awk.c w commit 371fe9 BusyBox występuje przepełnienie stosu. Atakujący może wykorzystać tę podatność, dostarczając spreparowany skrypt AWK, co prowadzi do odmowy usługi (DoS).
- CVE-2026-29004Wysokie
W BusyBox przed commit 42202bf wykryto podatność przepełnienia bufora sterty w kliencie DHCPv6 (udhcpc6) w funkcji obsługującej opcję DNS_SERVERS. Atakujący z sąsiedztwa sieciowego może wysłać spreparowaną odpowiedź DHCPv6 z nieprawidłową opcją D6_OPT_DNS_SERVERS, co prowadzi do uszkodzenia pamięci.
Oryginalny opis (angielski, źródło NVD)
A use-after-free in the awk_sub() function (editors/awk.c) of Busybox v1.38.0 allows attackers to cause a Denial of Service (DoS) via supplying a crafted AWK script.