CVE-2026-56389

WysokieCVSS 8.6

Opublikowano: 29/07/2026(UTC)Zaktualizowano: 24/08/2026(UTC)Przetłumaczono: 29/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

GNU Bison pozwala na wykonanie dowolnego programu podczas generowania raportu HTML z powodu nieprawidłowego obsługiwania zmiennych konfiguracyjnych zdefiniowanych w gramatyce. Plik gramatyki może nadpisać program używany do transformacji XML na HTML za pomocą %define tool.xsltproc, co jest akceptowane bez ograniczeń i przekazywane bezpośrednio do execvp(). Uruchomienie bison --html na dostarczonej przez atakującego gramatyce umożliwia wykonanie dowolnego programu z uprawnieniami procesu Bison.

Ocena ryzyka

Atakujący może wykonać dowolny kod na serwerze, na którym uruchomiony jest Bison, co może prowadzić do przejęcia kontroli nad systemem lub kradzieży danych.

Rekomendacja

Zaktualizuj GNU Bison do wersji zawierającej poprawkę z commitu 3169c1e7a2c6acc4c59dfcf8b089896d6881925b lub nowszej. Unikaj uruchamiania bison --html na niezaufanych plikach gramatyki.

Inne podatności w GNU Bison

CVE-2026-56390Średnie
W GNU Bison wykryto podatność polegającą na nieprawidłowym obsługiwaniu ścieżek wyjściowych zdefiniowanych w gramatyce. Dyrektywy %output i %header pozwalają na określenie dowolnych ścieżek plików, które są akceptowane bez ograniczeń, co może prowadzić do nadpisywania plików. Problem potwierdzono w wersji 3.8.2, ale może dotyczyć innych wersji.

Oryginalny opis (angielski, źródło NVD)

GNU Bison allows for an execution of an arbitrary program during HTML report generation due to improper handling of grammar-defined configuration variables. A grammar file can override the executable used for the XML‑to‑HTML transformation step via %define tool.xsltproc, which is accepted without restriction and passed directly to execvp(). When running bison --html on a attacker-provided grammar, this behavior allows execution of an arbitrary program with the privileges of the Bison process. Maintainers of this project were notified about this vulnerability, and fixed the issue in commit 3169c1e7a2c6acc4c59dfcf8b089896d6881925b. However, they did not provide vulnerable version range. Version 3.8.2 was tested and confirmed as vulnerable, other versions were not tested but might also be vulnerable.