Katalog CVE
CVE-2026-38755
NiskieCVSS 2.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzyko0.31%
Percentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W BusyBox w wersji 1.38.0 wykryto przepełnienie sterty w funkcji evalcommand() w pliku shell/ash.c. Podanie spreparowanego wejścia może umożliwić atakującemu spowodowanie odmowy usługi (DoS).
Ocena ryzyka
Atakujący może zdalnie lub lokalnie doprowadzić do awarii systemu wbudowanego lub urządzenia wykorzystującego BusyBox, co skutkuje przerwaniem działania usług.
Rekomendacja
Należy zaktualizować BusyBox do wersji nowszej niż 1.38.0, w której załatano tę podatność. Jeśli aktualizacja nie jest możliwa, ogranicz dostęp do powłoki i filtruj dane wejściowe.
Oryginalny opis (angielski, źródło NVD)
A heap overflow in the evalcommand() function (shell/ash.c) of Busybox v1.38.0 allows attackers to cause a Denial of Service (DoS) via supplying a crafted input.