CVE-2026-54576

mport, menedżer pakietów MidnightBSD, przed wersją 2.7.8 obsługiwał zasoby katalogowe (ASSET_DIR lub ASSET_DIR_OWNER_MODE) w libmport/bundle_read_install_pkg.c przy użyciu operacji opartych na ścieżkach, takich jak mport_mkdirp(), zmiany właściciela i uprawnień. Lokalny atakujący, mający możliwość modyfikacji części drzewa instalacyjnego, mógł wykorzystać nawigację po ścieżkach (dot-dot) lub podstawić dowiązania symboliczne podczas uprzywilejowanej instalacji pakietu, powodując tworzenie katalogów lub zmiany atrybutów poza zamierzonymi katalogami pakietu.

mport, menedżer pakietów MidnightBSD, przed wersją 2.7.8 akceptował adresy URL repozytoriów i mirrorów pakietów bez wymuszenia HTTPS w funkcjach mport_fetch_index(), mport_fetch_bootstrap_index() i mport_fetch_bundle() w libmport/fetch.c. Gdy skonfigurowano lub zwrócono adres URL w postaci czystego tekstu, atakujący w sieci mógł manipulować ruchem pobierania indeksu pakietów lub pakietów, co mogło naruszyć wybór pakietów lub ich integralność.

mport, menedżer pakietów MidnightBSD, przed wersją 2.7.8 w funkcji create_sample_file() w libmport/bundle_read_install_pkg.c nie ograniczał bezwzględnych ścieżek źródłowych i docelowych z dyrektywy manifestu sample-file do katalogu mport->root. Złośliwy lub nieprawidłowy manifest pakietu mógł skierować uprzywilejowane operacje na pliki przykładowe do kopiowania lub zapisu poza skonfigurowanym katalogiem instalacyjnym, naruszając integralność lokalnego systemu plików.

Menedżer pakietów MidnightBSD (mport) przed wersją 2.7.8 nie odrzucał konsekwentnie nazw plików pakietów zawierających puste wartości, kropkę, podwójną kropkę lub ukośniki. Złośliwe dane indeksu pakietów mogły spowodować zapis pobranych danych poza zamierzoną lokalizacją pamięci podręcznej lub pod niebezpieczną nazwą.

mport, menedżer pakietów MidnightBSD, przed wersją 2.7.8 nie przeprowadzał kontroli wstępnej dla przychodzących zasobów niebędących katalogami, które już istniały na dysku. Logika w libmport/check_preconditions.c, libmport/install_primative.c i libmport/mport_private.h nie stosowała MPORT_PRECHECK_FILE_CONFLICTS, więc spreparowany lub konfliktowy pakiet mógł nadpisać plik należący do innego pakietu lub niezarządzany przez mport. Kontrola jest pomijana tylko wtedy, gdy operator jawnie włączy mport->force.

Funkcja mport_fetch_bootstrap_index() w libmport/fetch.c przed wersją 2.7.8 mogła zwrócić sukces, gdy weryfikacja hasha indeksu bootstrap napotkała brakujący lub nieprawidłowy hash, ponieważ ścieżka błędu nie zachowywała wyniku krytycznego. Atakujący w sieci lub przejęte lustro mogło w ten sposób doprowadzić do użycia niezweryfikowanego lub zmodyfikowanego indeksu pakietów bootstrap.

W wersjach mport przed 2.7.8 funkcja mport_decompress_zstd() w libmport/util.c nie traktowała każdego obciętego, uszkodzonego lub nieudanego strumienia zstd jako krytycznego, a libmport/fetch.c nie propagowało konsekwentnie tych błędów do wywołujących. Złośliwe lub wadliwe lustro mogło dostarczyć skompresowane dane indeksu pakietów powodujące częściowy wynik i utratę integralności indeksu lub odmowę usługi.

Menedżer pakietów MidnightBSD mport w wersjach przed 2.7.8 nie waliduje pól icmp_id i icmp_seq w odpowiedziach ICMP oraz używa stałego przesunięcia nagłówka IP zamiast ip_hl. Atakujący w sieci może wpływać na wybór opóźnienia lustra lub wywołać odczyt poza zakresem bufora poprzez zniekształcony pakiet. Luka została naprawiona w wersji 2.7.8.

Menedżer pakietów MidnightBSD mport w wersjach przed 2.7.8 kontynuuje działanie po niepowodzeniu MD5File() lub SHA256_File() i porównuje oczekiwaną sumę kontrolną z nieaktualnymi danymi w buforze zamiast z nowo obliczonym skrótem. Atakujący mogący wpłynąć na instalowany plik lub warunki powodujące błąd haszowania może uzyskać mylący wynik integralności lub ukryć błąd sumy kontrolnej. Luka została naprawiona w wersji 2.7.8.

Menedżer pakietów MidnightBSD mport w wersjach przed 2.7.8 w poleceniu audit oblicza poprawione wartości local_argv i local_argc, ale przekazuje oryginalny argument do audit_package(). Gdy operator użyje opcji takiej jak -r przed nazwą pakietu, nieaktualny stan optind może spowodować audyt tokenu opcji zamiast żądanego pakietu, dając fałszywie negatywny wynik. Luka została naprawiona w wersji 2.7.8.