CVE-2026-66486
ŚrednieCVSS 4.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
GNU cpio jest podatny na nieprawidłowe kodowanie lub escapowanie danych wyjściowych w funkcji listowania członków archiwum. Podczas wyświetlania listy członków za pomocą cpio -it, nazwy członków są wypisywane bezpośrednio bez cytowania lub escapowania. Atakujący może stworzyć archiwum cpio z nazwami zawierającymi znaki nowej linii lub sekwencje escape ANSI, co może prowadzić do sfałszowanych wpisów listy lub wstrzyknięcia sekwencji sterujących terminala.
Ocena ryzyka
Atakujący może dostarczyć spreparowane archiwum, które po wyświetleniu listy może wprowadzić użytkownika w błąd lub wykonać złośliwe sekwencje sterujące w terminalu, co może prowadzić do nieautoryzowanych działań lub kradzieży danych.
Rekomendacja
Zaktualizuj GNU cpio do wersji zawierającej commit 2ff9600c9ef32e88759843cdbde74c8db5ae9b30 lub nowszej. Unikaj wyświetlania listy archiwów z niezaufanych źródeł.
Inne podatności w GNU cpio
Zobacz wszystkie- CVE-2026-66485Średnie
GNU cpio jest podatny na niekontrolowaną alokację pamięci w funkcji make_path w src/makepath.c. Funkcja używa alloca do alokacji pamięci na stosie na podstawie długości argpath, która pochodzi z kontrolowanej przez archiwum ścieżki podczas ekstrakcji. Złośliwe archiwum cpio z wystarczająco długą zagnieżdżoną ścieżką powoduje nieograniczoną alokację na stosie, co prowadzi do przepełnienia stosu i awarii procesu cpio.
- CVE-2026-66484Średnie
GNU cpio zawiera podatność na przechodzenie po ścieżkach w funkcji rozpakowywania archiwów tar. Podczas rozpakowywania archiwum tar w trybie copy-in z opcją --no-absolute-filenames, nazwa pliku jest normalizowana, ale cel dowiązania twardego nie jest odpowiednio sanityzowany przed wywołaniem funkcji link. Archiwum tar dostarczone przez atakującego, zawierające wpis dowiązania twardego z linkname ustawionym na ścieżkę bezwzględną poza katalogiem docelowym, może spowodować utworzenie dowiązania twardego do istniejącego pliku poza katalogiem docelowym, łamiąc gwarancję --no-absolute-filenames i umożliwiając kontrolowane przez archiwum powiązanie z plikami zewnętrznymi.
Oryginalny opis (angielski, źródło NVD)
GNU cpio is vulnerable to improper encoding or escaping of output in its archive member listing functionality. When listing archive members via cpio -it, member names are printed directly to output without quoting or escaping. An attacker can craft a cpio archive containing member names with embedded newline characters or ANSI escape sequences, causing forged listing entries or terminal control sequence injection when the listing is displayed. This issue has been fixed in commit 2ff9600c9ef32e88759843cdbde74c8db5ae9b30
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS