CVE-2026-54575
ŚrednieCVSS 5.8Streszczenie
mport, menedżer pakietów MidnightBSD, przed wersją 2.7.8 wykonywał uprzywilejowane operacje pobierania i czyszczenia pamięci podręcznej z użyciem podatnych na wyścigi operacji na ścieżkach w wielu plikach, takich jak libmport/fetch.c, libmport/clean.c, libmport/util.c, libmport/bundle_read_install_pkg.c, libmport/delete_primative.c i libexec/mport.create/mport.create.c. Lokalny atakujący z prawem zapisu do katalogu pamięci podręcznej lub ścieżki staging mógł wykorzystać wyścig między sprawdzeniem ścieżki a operacją zastąpienia, aby przekierować pobieranie pakietów, czyszczenie lub efekty uboczne instalacji poza zamierzoną pamięć podręczną. Dodatkowo, ścieżki pomocnicze używały wywołań w formie powłoki, co zwiększało ryzyko interpretacji argumentów.
Ocena ryzyka
Atakujący może manipulować operacjami pobierania i czyszczenia pakietów, co może prowadzić do podmiany pakietów, naruszenia integralności systemu lub wykonania niepożądanych poleceń.
Rekomendacja
Zaktualizuj mport do wersji 2.7.8 i ogranicz dostęp do katalogów pamięci podręcznej i staging tylko zaufanym użytkownikom.
Inne podatności w mport
Zobacz wszystkie- CVE-2026-54587Średnie
mport, menedżer pakietów MidnightBSD, przed wersją 2.7.8 obsługiwał zasoby katalogowe (ASSET_DIR lub ASSET_DIR_OWNER_MODE) w libmport/bundle_read_install_pkg.c przy użyciu operacji opartych na ścieżkach, takich jak mport_mkdirp(), zmiany właściciela i uprawnień. Lokalny atakujący, mający możliwość modyfikacji części drzewa instalacyjnego, mógł wykorzystać nawigację po ścieżkach (dot-dot) lub podstawić dowiązania symboliczne podczas uprzywilejowanej instalacji pakietu, powodując tworzenie katalogów lub zmiany atrybutów poza zamierzonymi katalogami pakietu.
- CVE-2026-54586Średnie
mport, menedżer pakietów MidnightBSD, przed wersją 2.7.8 akceptował adresy URL repozytoriów i mirrorów pakietów bez wymuszenia HTTPS w funkcjach mport_fetch_index(), mport_fetch_bootstrap_index() i mport_fetch_bundle() w libmport/fetch.c. Gdy skonfigurowano lub zwrócono adres URL w postaci czystego tekstu, atakujący w sieci mógł manipulować ruchem pobierania indeksu pakietów lub pakietów, co mogło naruszyć wybór pakietów lub ich integralność.
- CVE-2026-54585Średnie
mport, menedżer pakietów MidnightBSD, przed wersją 2.7.8 w funkcji create_sample_file() w libmport/bundle_read_install_pkg.c nie ograniczał bezwzględnych ścieżek źródłowych i docelowych z dyrektywy manifestu sample-file do katalogu mport->root. Złośliwy lub nieprawidłowy manifest pakietu mógł skierować uprzywilejowane operacje na pliki przykładowe do kopiowania lub zapisu poza skonfigurowanym katalogiem instalacyjnym, naruszając integralność lokalnego systemu plików.
- CVE-2026-54583Wysokie
Menedżer pakietów MidnightBSD (mport) przed wersją 2.7.8 nie odrzucał konsekwentnie nazw plików pakietów zawierających puste wartości, kropkę, podwójną kropkę lub ukośniki. Złośliwe dane indeksu pakietów mogły spowodować zapis pobranych danych poza zamierzoną lokalizacją pamięci podręcznej lub pod niebezpieczną nazwą.
- CVE-2026-54582Średnie
mport, menedżer pakietów MidnightBSD, przed wersją 2.7.8 nie przeprowadzał kontroli wstępnej dla przychodzących zasobów niebędących katalogami, które już istniały na dysku. Logika w libmport/check_preconditions.c, libmport/install_primative.c i libmport/mport_private.h nie stosowała MPORT_PRECHECK_FILE_CONFLICTS, więc spreparowany lub konfliktowy pakiet mógł nadpisać plik należący do innego pakietu lub niezarządzany przez mport. Kontrola jest pomijana tylko wtedy, gdy operator jawnie włączy mport->force.
- CVE-2026-54581Wysokie
Funkcja mport_fetch_bootstrap_index() w libmport/fetch.c przed wersją 2.7.8 mogła zwrócić sukces, gdy weryfikacja hasha indeksu bootstrap napotkała brakujący lub nieprawidłowy hash, ponieważ ścieżka błędu nie zachowywała wyniku krytycznego. Atakujący w sieci lub przejęte lustro mogło w ten sposób doprowadzić do użycia niezweryfikowanego lub zmodyfikowanego indeksu pakietów bootstrap.
- CVE-2026-54580Wysokie
W wersjach mport przed 2.7.8 funkcja mport_decompress_zstd() w libmport/util.c nie traktowała każdego obciętego, uszkodzonego lub nieudanego strumienia zstd jako krytycznego, a libmport/fetch.c nie propagowało konsekwentnie tych błędów do wywołujących. Złośliwe lub wadliwe lustro mogło dostarczyć skompresowane dane indeksu pakietów powodujące częściowy wynik i utratę integralności indeksu lub odmowę usługi.
- CVE-2026-54579Niskie
Menedżer pakietów MidnightBSD mport w wersjach przed 2.7.8 nie waliduje pól icmp_id i icmp_seq w odpowiedziach ICMP oraz używa stałego przesunięcia nagłówka IP zamiast ip_hl. Atakujący w sieci może wpływać na wybór opóźnienia lustra lub wywołać odczyt poza zakresem bufora poprzez zniekształcony pakiet. Luka została naprawiona w wersji 2.7.8.
- CVE-2026-54578Niskie
Menedżer pakietów MidnightBSD mport w wersjach przed 2.7.8 kontynuuje działanie po niepowodzeniu MD5File() lub SHA256_File() i porównuje oczekiwaną sumę kontrolną z nieaktualnymi danymi w buforze zamiast z nowo obliczonym skrótem. Atakujący mogący wpłynąć na instalowany plik lub warunki powodujące błąd haszowania może uzyskać mylący wynik integralności lub ukryć błąd sumy kontrolnej. Luka została naprawiona w wersji 2.7.8.
- CVE-2026-54577Niskie
Menedżer pakietów MidnightBSD mport w wersjach przed 2.7.8 w poleceniu audit oblicza poprawione wartości local_argv i local_argc, ale przekazuje oryginalny argument do audit_package(). Gdy operator użyje opcji takiej jak -r przed nazwą pakietu, nieaktualny stan optind może spowodować audyt tokenu opcji zamiast żądanego pakietu, dając fałszywie negatywny wynik. Luka została naprawiona w wersji 2.7.8.
Oryginalny opis (angielski, źródło NVD)
mport is the MidnightBSD Package Manager. Prior to 2.7.8, privileged package fetch and cache-cleaning operations used race-prone path handling across libmport/fetch.c, libmport/clean.c, libmport/util.c, libmport/bundle_read_install_pkg.c, libmport/delete_primative.c, and libexec/mport.create/mport.create.c. A local attacker with write access to a participating package cache or staging path could race path checks and replacement operations to redirect package downloads, cleanup, or install-related side effects outside the intended cache. The affected lifecycle helper paths also used shell-form invocation, increasing command-line interpretation risk during privileged helper execution. This issue is fixed in version 2.7.8.