CVE-2026-52750
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
Ghidra przed wersją 12.1 zawiera podatność na wstrzykiwanie poleceń w obsłudze adnotacji URL na systemie Windows, gdzie znaki specjalne cmd.exe nie są poprawnie escapowane. Atakujący mogą wykonać dowolne polecenia z uprawnieniami użytkownika Ghidry, osadzając złośliwe adresy URL w komentarzach programu, które ofiara kliknie.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego wykonania kodu przez atakującego na stacji roboczej użytkownika Ghidry, co może prowadzić do przejęcia kontroli nad systemem, kradzieży danych lub dalszego rozprzestrzeniania się ataku w sieci organizacji.
Rekomendacja
Należy niezwłocznie zaktualizować Ghidrę do wersji 12.1 lub nowszej. Do czasu aktualizacji zaleca się unikanie klikania w adresy URL w komentarzach programów oraz rozważenie użycia alternatywnych narzędzi do analizy kodu na systemach Windows.
Inne podatności w Ghidra
Zobacz wszystkie- CVE-2026-54389Średnie
Ghidra przed wersją 12.1.3 zawiera podatność na niekontrolowane zużycie zasobów w parserze PDB, która pozwala atakującym na zakończenie procesu Ghidra poprzez dostarczenie spreparowanego pliku PDB z przerośniętym parametrem. Procedura deserializacji AbstractPdb odczytuje wszystkie pozostałe parametry do nieograniczonej listy, powodując niekontrolowany wzrost sterty, co wyzwala OutOfMemoryError, który omija obsługę wyjątków i powoduje awarię aplikacji.
- CVE-2026-18718Wysokie
Ghidra zawiera podatność na wykonanie dowolnego kodu w analizatorze demanglera Swift, która pozwala atakującemu na wykonanie dowolnych plików binarnych poprzez dostarczenie złośliwego projektu Ghidra z spreparowaną ścieżką do katalogu narzędzi Swift. Gdy ofiara otworzy projekt dostarczony przez atakującego, SwiftDemanglerAnalyzer przywraca utrwalony katalog binarny Swift ze stanu projektu, a SwiftNativeDemangler wykonuje rozpoznany plik binarny bez weryfikacji integralności lub podpisu, powodując wykonanie kontrolowanych przez atakującego plików wykonywalnych w kontekście użytkownika procesu Ghidra bez monitu lub potwierdzenia.
- CVE-2026-52759Średnie
Ghidra w wersjach przed 12.1.1 zawiera podatność na niekontrolowaną alokację pamięci w parserze binarnym Mach-O, co pozwala atakującym na wywołanie odmowy usługi. Atakujący może dostarczyć spreparowany plik Mach-O z dowolnie dużą wartością ncmds, co zmusza parser do alokacji nadmiernej pamięci na stercie, co prowadzi do awarii JVM Ghidra.
- CVE-2026-52758Wysokie
Ghidra przed wersją 12.1 zawiera podatność na wstrzykiwanie SQL w typach filtrów BSim, które łączą wartości dostarczone przez użytkownika bezpośrednio z zapytaniami SQL bez odpowiedniego escapingu lub parametryzacji. Zdalny atakujący może wstrzyknąć dowolny kod SQL za pomocą protokołu zapytań sieciowych BSim, aby odczytać, zmodyfikować lub usunąć dane w bazie PostgreSQL.
- CVE-2026-52757Średnie
Ghidra przed wersją 12.1 zawiera podatność use-after-free na stercie w funkcji HighVariable::merge() dekompilatora podczas przebiegu łączenia zmiennych. Atakujący może stworzyć binarkę, która powoduje dereferencję nieaktualnych wskaźników w pamięci podręcznej HighIntersectTest::highedgemap, co prowadzi do odczytu i zapisu pola flags w zwolnionej pamięci sterty, gdy użytkownik otworzy binarkę w widoku dekompilatora Ghidry.
- CVE-2026-52756Średnie
Ghidra przed wersją 12.2 zawiera nieuwierzytelnioną podatność na przechodzenie po ścieżkach w serwerze IsfServer, który akceptuje połączenia TCP i przekazuje dostarczone przez klienta nazwy przestrzeni nazw bezpośrednio do operacji na systemie plików bez walidacji. Zdalni atakujący mogą połączyć się z portem 54321 i wysłać spreparowane wiadomości protobuf z sekwencjami przechodzenia, aby wyliczyć ścieżki systemu plików i badać dowolne pliki.
- CVE-2026-52755Wysokie
Ghidra przed wersją 12.0.4 zawiera podatność na przechodzenie po ścieżkach w funkcji importowania motywów, umożliwiającą atakującym zapisywanie plików poza zamierzonym katalogiem motywów. Atakujący mogą spreparować złośliwe pliki ZIP motywów z sekwencjami przechodzenia w nazwach plików, aby wykonać dowolny kod lub zmodyfikować wrażliwe pliki, takie jak .bashrc lub .ssh/authorized_keys.
- CVE-2026-52754Wysokie
Ghidra przed wersją 12.1 zawiera podatność umożliwiającą ominięcie uwierzytelniania w metodzie PKIAuthenticationModule.authenticate(). Pozwala ona każdemu użytkownikowi z ważnym certyfikatem podpisanym przez CA na podszywanie się pod innych użytkowników poprzez przedstawienie ich certyfikatu publicznego z pustym podpisem.
- CVE-2026-52753Średnie
Ghidra przed wersją 12.0.3 zawiera podatność na wyczerpanie pamięci w funkcji rust_demangle, która alokuje bufory wyjściowe bez ograniczeń rozmiaru. Atakujący mogą spreparować złośliwe nazwy symboli Rusta w plikach binarnych, powodując wykładniczą alokację pamięci i awarię procesu podczas analizy binarnej.
- CVE-2026-52752Wysokie
Ghidra przed wersją 12.0.2 zawiera podatność na przechodzenie po ścieżkach w instalatorze rozszerzeń, który nie waliduje nazw wpisów ZIP podczas wypakowywania. Atakujący mogą tworzyć złośliwe rozszerzenia z sekwencjami przejścia, takimi jak ../ w nazwach plików, aby zapisywać dowolne pliki poza zamierzonym katalogiem, co umożliwia wykonanie kodu.
Oryginalny opis (angielski, źródło NVD)
Ghidra before 12.1 contains a command injection vulnerability in URL annotation handling on Windows where cmd.exe metacharacters are not properly escaped. Attackers can execute arbitrary commands under the Ghidra user's privileges by embedding malicious URLs in program comments that victims click.