CVE-2026-52759
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Ghidra w wersjach przed 12.1.1 zawiera podatność na niekontrolowaną alokację pamięci w parserze binarnym Mach-O, co pozwala atakującym na wywołanie odmowy usługi. Atakujący może dostarczyć spreparowany plik Mach-O z dowolnie dużą wartością ncmds, co zmusza parser do alokacji nadmiernej pamięci na stercie, co prowadzi do awarii JVM Ghidra.
Ocena ryzyka
Podatność ta może prowadzić do awarii systemu Ghidra, co w konsekwencji może zakłócić pracę organizacji i utrudnić analizę binarną.
Rekomendacja
Zaleca się aktualizację Ghidra do wersji 12.1.1 lub nowszej, aby usunąć tę podatność oraz monitorowanie systemu pod kątem nieautoryzowanych prób dostarczenia złośliwych plików.
Inne podatności w Ghidra
Zobacz wszystkie- CVE-2026-54389Średnie
Ghidra przed wersją 12.1.3 zawiera podatność na niekontrolowane zużycie zasobów w parserze PDB, która pozwala atakującym na zakończenie procesu Ghidra poprzez dostarczenie spreparowanego pliku PDB z przerośniętym parametrem. Procedura deserializacji AbstractPdb odczytuje wszystkie pozostałe parametry do nieograniczonej listy, powodując niekontrolowany wzrost sterty, co wyzwala OutOfMemoryError, który omija obsługę wyjątków i powoduje awarię aplikacji.
- CVE-2026-18718Wysokie
Ghidra zawiera podatność na wykonanie dowolnego kodu w analizatorze demanglera Swift, która pozwala atakującemu na wykonanie dowolnych plików binarnych poprzez dostarczenie złośliwego projektu Ghidra z spreparowaną ścieżką do katalogu narzędzi Swift. Gdy ofiara otworzy projekt dostarczony przez atakującego, SwiftDemanglerAnalyzer przywraca utrwalony katalog binarny Swift ze stanu projektu, a SwiftNativeDemangler wykonuje rozpoznany plik binarny bez weryfikacji integralności lub podpisu, powodując wykonanie kontrolowanych przez atakującego plików wykonywalnych w kontekście użytkownika procesu Ghidra bez monitu lub potwierdzenia.
- CVE-2026-52758Wysokie
Ghidra przed wersją 12.1 zawiera podatność na wstrzykiwanie SQL w typach filtrów BSim, które łączą wartości dostarczone przez użytkownika bezpośrednio z zapytaniami SQL bez odpowiedniego escapingu lub parametryzacji. Zdalny atakujący może wstrzyknąć dowolny kod SQL za pomocą protokołu zapytań sieciowych BSim, aby odczytać, zmodyfikować lub usunąć dane w bazie PostgreSQL.
- CVE-2026-52757Średnie
Ghidra przed wersją 12.1 zawiera podatność use-after-free na stercie w funkcji HighVariable::merge() dekompilatora podczas przebiegu łączenia zmiennych. Atakujący może stworzyć binarkę, która powoduje dereferencję nieaktualnych wskaźników w pamięci podręcznej HighIntersectTest::highedgemap, co prowadzi do odczytu i zapisu pola flags w zwolnionej pamięci sterty, gdy użytkownik otworzy binarkę w widoku dekompilatora Ghidry.
- CVE-2026-52756Średnie
Ghidra przed wersją 12.2 zawiera nieuwierzytelnioną podatność na przechodzenie po ścieżkach w serwerze IsfServer, który akceptuje połączenia TCP i przekazuje dostarczone przez klienta nazwy przestrzeni nazw bezpośrednio do operacji na systemie plików bez walidacji. Zdalni atakujący mogą połączyć się z portem 54321 i wysłać spreparowane wiadomości protobuf z sekwencjami przechodzenia, aby wyliczyć ścieżki systemu plików i badać dowolne pliki.
- CVE-2026-52755Wysokie
Ghidra przed wersją 12.0.4 zawiera podatność na przechodzenie po ścieżkach w funkcji importowania motywów, umożliwiającą atakującym zapisywanie plików poza zamierzonym katalogiem motywów. Atakujący mogą spreparować złośliwe pliki ZIP motywów z sekwencjami przechodzenia w nazwach plików, aby wykonać dowolny kod lub zmodyfikować wrażliwe pliki, takie jak .bashrc lub .ssh/authorized_keys.
- CVE-2026-52754Wysokie
Ghidra przed wersją 12.1 zawiera podatność umożliwiającą ominięcie uwierzytelniania w metodzie PKIAuthenticationModule.authenticate(). Pozwala ona każdemu użytkownikowi z ważnym certyfikatem podpisanym przez CA na podszywanie się pod innych użytkowników poprzez przedstawienie ich certyfikatu publicznego z pustym podpisem.
- CVE-2026-52753Średnie
Ghidra przed wersją 12.0.3 zawiera podatność na wyczerpanie pamięci w funkcji rust_demangle, która alokuje bufory wyjściowe bez ograniczeń rozmiaru. Atakujący mogą spreparować złośliwe nazwy symboli Rusta w plikach binarnych, powodując wykładniczą alokację pamięci i awarię procesu podczas analizy binarnej.
- CVE-2026-52752Wysokie
Ghidra przed wersją 12.0.2 zawiera podatność na przechodzenie po ścieżkach w instalatorze rozszerzeń, który nie waliduje nazw wpisów ZIP podczas wypakowywania. Atakujący mogą tworzyć złośliwe rozszerzenia z sekwencjami przejścia, takimi jak ../ w nazwach plików, aby zapisywać dowolne pliki poza zamierzonym katalogiem, co umożliwia wykonanie kodu.
- CVE-2026-52751Wysokie
Ghidra przed wersją 12.1 zawiera niebezpieczną podatność na deserializację w kodzie połączenia RMI projektu współdzielonego po stronie klienta, umożliwiającą nieuwierzytelnione zdalne wykonanie kodu. Atakujący mogą stworzyć złośliwy plik projektu z adresem URL ghidra://, który po otwarciu przez File → Open Project deserializuje niezaufane obiekty przy użyciu łańcucha gadżetów Jython 2.7.4 do wykonania dowolnych poleceń.
Oryginalny opis (angielski, źródło NVD)
Ghidra before 12.1.1 contains an uncontrolled memory allocation vulnerability in the Mach-O binary parser that allows attackers to cause denial of service. An attacker can supply a crafted Mach-O binary with an arbitrarily large ncmds load command count value, forcing the parser to allocate excessive heap memory without validating file size, crashing the Ghidra JVM.