CVE-2026-52757
ŚrednieCVSS 4.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Ghidra przed wersją 12.1 zawiera podatność use-after-free na stercie w funkcji HighVariable::merge() dekompilatora podczas przebiegu łączenia zmiennych. Atakujący może stworzyć binarkę, która powoduje dereferencję nieaktualnych wskaźników w pamięci podręcznej HighIntersectTest::highedgemap, co prowadzi do odczytu i zapisu pola flags w zwolnionej pamięci sterty, gdy użytkownik otworzy binarkę w widoku dekompilatora Ghidry.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego wykonania kodu lub ujawnienia wrażliwych danych poprzez otwarcie złośliwie spreparowanego pliku binarnego w Ghidrze. Podatność może prowadzić do przejęcia kontroli nad systemem analityka lub wycieku informacji z analizowanego oprogramowania.
Rekomendacja
Zaleca się natychmiastową aktualizację Ghidry do wersji 12.1 lub nowszej. Należy również unikać otwierania niezaufanych plików binarnych w dekompilatorze do czasu zastosowania łatki.
Inne podatności w Ghidra
Zobacz wszystkie- CVE-2026-54389Średnie
Ghidra przed wersją 12.1.3 zawiera podatność na niekontrolowane zużycie zasobów w parserze PDB, która pozwala atakującym na zakończenie procesu Ghidra poprzez dostarczenie spreparowanego pliku PDB z przerośniętym parametrem. Procedura deserializacji AbstractPdb odczytuje wszystkie pozostałe parametry do nieograniczonej listy, powodując niekontrolowany wzrost sterty, co wyzwala OutOfMemoryError, który omija obsługę wyjątków i powoduje awarię aplikacji.
- CVE-2026-18718Wysokie
Ghidra zawiera podatność na wykonanie dowolnego kodu w analizatorze demanglera Swift, która pozwala atakującemu na wykonanie dowolnych plików binarnych poprzez dostarczenie złośliwego projektu Ghidra z spreparowaną ścieżką do katalogu narzędzi Swift. Gdy ofiara otworzy projekt dostarczony przez atakującego, SwiftDemanglerAnalyzer przywraca utrwalony katalog binarny Swift ze stanu projektu, a SwiftNativeDemangler wykonuje rozpoznany plik binarny bez weryfikacji integralności lub podpisu, powodując wykonanie kontrolowanych przez atakującego plików wykonywalnych w kontekście użytkownika procesu Ghidra bez monitu lub potwierdzenia.
- CVE-2026-52759Średnie
Ghidra w wersjach przed 12.1.1 zawiera podatność na niekontrolowaną alokację pamięci w parserze binarnym Mach-O, co pozwala atakującym na wywołanie odmowy usługi. Atakujący może dostarczyć spreparowany plik Mach-O z dowolnie dużą wartością ncmds, co zmusza parser do alokacji nadmiernej pamięci na stercie, co prowadzi do awarii JVM Ghidra.
- CVE-2026-52758Wysokie
Ghidra przed wersją 12.1 zawiera podatność na wstrzykiwanie SQL w typach filtrów BSim, które łączą wartości dostarczone przez użytkownika bezpośrednio z zapytaniami SQL bez odpowiedniego escapingu lub parametryzacji. Zdalny atakujący może wstrzyknąć dowolny kod SQL za pomocą protokołu zapytań sieciowych BSim, aby odczytać, zmodyfikować lub usunąć dane w bazie PostgreSQL.
- CVE-2026-52756Średnie
Ghidra przed wersją 12.2 zawiera nieuwierzytelnioną podatność na przechodzenie po ścieżkach w serwerze IsfServer, który akceptuje połączenia TCP i przekazuje dostarczone przez klienta nazwy przestrzeni nazw bezpośrednio do operacji na systemie plików bez walidacji. Zdalni atakujący mogą połączyć się z portem 54321 i wysłać spreparowane wiadomości protobuf z sekwencjami przechodzenia, aby wyliczyć ścieżki systemu plików i badać dowolne pliki.
- CVE-2026-52755Wysokie
Ghidra przed wersją 12.0.4 zawiera podatność na przechodzenie po ścieżkach w funkcji importowania motywów, umożliwiającą atakującym zapisywanie plików poza zamierzonym katalogiem motywów. Atakujący mogą spreparować złośliwe pliki ZIP motywów z sekwencjami przechodzenia w nazwach plików, aby wykonać dowolny kod lub zmodyfikować wrażliwe pliki, takie jak .bashrc lub .ssh/authorized_keys.
- CVE-2026-52754Wysokie
Ghidra przed wersją 12.1 zawiera podatność umożliwiającą ominięcie uwierzytelniania w metodzie PKIAuthenticationModule.authenticate(). Pozwala ona każdemu użytkownikowi z ważnym certyfikatem podpisanym przez CA na podszywanie się pod innych użytkowników poprzez przedstawienie ich certyfikatu publicznego z pustym podpisem.
- CVE-2026-52753Średnie
Ghidra przed wersją 12.0.3 zawiera podatność na wyczerpanie pamięci w funkcji rust_demangle, która alokuje bufory wyjściowe bez ograniczeń rozmiaru. Atakujący mogą spreparować złośliwe nazwy symboli Rusta w plikach binarnych, powodując wykładniczą alokację pamięci i awarię procesu podczas analizy binarnej.
- CVE-2026-52752Wysokie
Ghidra przed wersją 12.0.2 zawiera podatność na przechodzenie po ścieżkach w instalatorze rozszerzeń, który nie waliduje nazw wpisów ZIP podczas wypakowywania. Atakujący mogą tworzyć złośliwe rozszerzenia z sekwencjami przejścia, takimi jak ../ w nazwach plików, aby zapisywać dowolne pliki poza zamierzonym katalogiem, co umożliwia wykonanie kodu.
- CVE-2026-52751Wysokie
Ghidra przed wersją 12.1 zawiera niebezpieczną podatność na deserializację w kodzie połączenia RMI projektu współdzielonego po stronie klienta, umożliwiającą nieuwierzytelnione zdalne wykonanie kodu. Atakujący mogą stworzyć złośliwy plik projektu z adresem URL ghidra://, który po otwarciu przez File → Open Project deserializuje niezaufane obiekty przy użyciu łańcucha gadżetów Jython 2.7.4 do wykonania dowolnych poleceń.
Oryginalny opis (angielski, źródło NVD)
Ghidra before 12.1 contains a heap-use-after-free vulnerability in the decompiler's HighVariable::merge() function during the variable merging pass. Attackers can trigger this vulnerability by crafting a binary that causes stale pointers in the HighIntersectTest::highedgemap cache to be dereferenced, reading and writing the flags field of freed heap memory when a user opens the binary in Ghidra's decompiler view.