CVE-2026-88842

Ten kandydat CVE został odrzucony przez Red Hat Product Security, ponieważ nie jest to podatność bezpieczeństwa. Wewnętrzny TLS w BusyBox jest celowo minimalny i dokumentuje w FEATURE_WGET_HTTPS, że nie weryfikuje tożsamości peerów ani nie zapewnia pełnego bezpieczeństwa TLS; brak sprawdzania danych Finished jest zgodny z tym udokumentowanym projektem i nie przekracza granicy bezpieczeństwa uzasadniającej CVE.

W funkcji add_match w libbb/lineedit.c w BusyBox do wersji 1.27.2, funkcja autouzupełniania tabulatora nie sanitizuje nazw plików, co może prowadzić do wykonania dowolnych sekwencji ucieczki w terminalu.

Podatność na przejście do katalogu w implementacji tar w BusyBox przed wersją 1.22.0 v5 umożliwia zdalnym atakującym wskazywanie na pliki znajdujące się poza bieżącym katalogiem roboczym za pomocą symlinków.

Przepełnienie całkowite w kliencie DHCP (udhcpc) w BusyBox przed wersją 1.25.0 umożliwia zdalnym atakującym spowodowanie awarii (denial of service) poprzez złośliwie skonstruowaną nazwę domeny zakodowaną zgodnie z RFC1035, co prowadzi do zapisu poza granicami sterty.

Funkcja recv_and_process_client_pkt w pliku networking/ntpd.c w busybox umożliwia zdalnym atakującym spowodowanie odmowy usługi poprzez sfałszowany pakiet NTP, co prowadzi do pętli komunikacyjnej.

Podatność w BusyBox dotyczy funkcji write_status_file() w narzędziu dpkg. Brak resetowania kursora pól między sekcjami pakietów prowadzi do odczytów poza zakresem oraz uszkodzenia pliku statusu podczas usuwania wielu pakietów.

W busybox przed wersją 1.35 w pliku ash.c:6030 występuje podatność na przepełnienie stosu. W środowisku Internetu Pojazdów (IoV) może zostać wykorzystana do wykonania dowolnego kodu z poziomu polecenia.

W BusyBox w obsłudze wyodrębniania archiwów dpkg-deb wykryto błąd. Handler archiwów ar opróżnia odroczone dowiązania symboliczne po każdym elemencie archiwum, w przeciwieństwie do handlerów tar, cpio i unzip, które robią to raz po ostatnim elemencie. Specjalnie spreparowane archiwum .deb z dwoma elementami data.tar może spowodować zapis pliku poza docelowym katalogiem wyodrębniania.

W funkcji odwrotnego proxy BusyBox httpd wykryto błąd. Gdy proxy przekazuje żądania pasujące do prefiksu URL do serwera backendu, tylko pierwsze żądanie HTTP w połączeniu TCP ma przepisywaną ścieżkę. Drugie żądanie w potoku jest przekazywane dosłownie do backendu, omijając skonfigurowane ograniczenia ścieżek.

W narzędziu mount w BusyBox wykryto błąd. Użytkownik nieuprzywilejowany może obejść ograniczenia bezpieczeństwa montowania ustawione w /etc/fstab, podając w wierszu poleceń opcje czyszczące maskę. Opcje te przechodzą filtr flag nieuprzywilejowanego użytkownika i są łączone z opcjami fstab jako ciągi znaków; przy ponownym parsowaniu opcje czyszczące mogą nadpisać zabezpieczenia nosuid, nodev i noexec.