CVE-2026-90954
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W BusyBox w obsłudze wyodrębniania archiwów dpkg-deb wykryto błąd. Handler archiwów ar opróżnia odroczone dowiązania symboliczne po każdym elemencie archiwum, w przeciwieństwie do handlerów tar, cpio i unzip, które robią to raz po ostatnim elemencie. Specjalnie spreparowane archiwum .deb z dwoma elementami data.tar może spowodować zapis pliku poza docelowym katalogiem wyodrębniania.
Ocena ryzyka
Atakujący może zapisać dowolne pliki w dowolnych lokalizacjach, gdy użytkownik wyodrębnia spreparowaną paczkę .deb, co może prowadzić do nadpisania plików systemowych lub wykonania kodu.
Rekomendacja
Zaktualizuj BusyBox do wersji zawierającej poprawkę oraz unikaj wyodrębniania niezaufanych paczek .deb. Rozważ weryfikację integralności paczek przed rozpakowaniem.
Inne podatności w BusyBox
Zobacz wszystkie- CVE-2026-88836Nieznane
Ten kandydat CVE został odrzucony przez Red Hat Product Security, ponieważ nie jest to podatność bezpieczeństwa. Wewnętrzny TLS w BusyBox jest celowo minimalny i dokumentuje w FEATURE_WGET_HTTPS, że nie weryfikuje tożsamości peerów ani nie zapewnia pełnego bezpieczeństwa TLS; brak sprawdzania danych Finished jest zgodny z tym udokumentowanym projektem i nie przekracza granicy bezpieczeństwa uzasadniającej CVE.
- CVE-2017-16544Wysokie
W funkcji add_match w libbb/lineedit.c w BusyBox do wersji 1.27.2, funkcja autouzupełniania tabulatora nie sanitizuje nazw plików, co może prowadzić do wykonania dowolnych sekwencji ucieczki w terminalu.
- CVE-2011-5325Wysokie
Podatność na przejście do katalogu w implementacji tar w BusyBox przed wersją 1.22.0 v5 umożliwia zdalnym atakującym wskazywanie na pliki znajdujące się poza bieżącym katalogiem roboczym za pomocą symlinków.
- CVE-2016-2147Wysokie
Przepełnienie całkowite w kliencie DHCP (udhcpc) w BusyBox przed wersją 1.25.0 umożliwia zdalnym atakującym spowodowanie awarii (denial of service) poprzez złośliwie skonstruowaną nazwę domeny zakodowaną zgodnie z RFC1035, co prowadzi do zapisu poza granicami sterty.
- CVE-2016-6301Wysokie
Funkcja recv_and_process_client_pkt w pliku networking/ntpd.c w busybox umożliwia zdalnym atakującym spowodowanie odmowy usługi poprzez sfałszowany pakiet NTP, co prowadzi do pętli komunikacyjnej.
- CVE-2026-88841Niskie
Podatność w BusyBox dotyczy funkcji write_status_file() w narzędziu dpkg. Brak resetowania kursora pól między sekcjami pakietów prowadzi do odczytów poza zakresem oraz uszkodzenia pliku statusu podczas usuwania wielu pakietów.
- CVE-2022-48174Krytyczne
W busybox przed wersją 1.35 w pliku ash.c:6030 występuje podatność na przepełnienie stosu. W środowisku Internetu Pojazdów (IoV) może zostać wykorzystana do wykonania dowolnego kodu z poziomu polecenia.
- CVE-2026-88842Niskie
W BusyBox dpkg wykryto błąd. Funkcja write_status_file() nie resetuje kursora pola między sekcjami pakietów. Gdy dwa pakiety są usuwane w jednym wywołaniu, a pierwsza sekcja jest większa od drugiej, druga sekcja pakietu może zostać pominięta w pliku statusu, powodując ograniczone uszkodzenie danych.
- CVE-2026-88829Wysokie
W funkcji odwrotnego proxy BusyBox httpd wykryto błąd. Gdy proxy przekazuje żądania pasujące do prefiksu URL do serwera backendu, tylko pierwsze żądanie HTTP w połączeniu TCP ma przepisywaną ścieżkę. Drugie żądanie w potoku jest przekazywane dosłownie do backendu, omijając skonfigurowane ograniczenia ścieżek.
- CVE-2026-88838Średnie
W narzędziu mount w BusyBox wykryto błąd. Użytkownik nieuprzywilejowany może obejść ograniczenia bezpieczeństwa montowania ustawione w /etc/fstab, podając w wierszu poleceń opcje czyszczące maskę. Opcje te przechodzą filtr flag nieuprzywilejowanego użytkownika i są łączone z opcjami fstab jako ciągi znaków; przy ponownym parsowaniu opcje czyszczące mogą nadpisać zabezpieczenia nosuid, nodev i noexec.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in BusyBox's dpkg-deb archive extraction. The ar archive handler flushes deferred symlinks after each archive member, unlike the tar, cpio, and unzip handlers which flush once after the last member. A specially crafted .deb archive with two data.tar members can exploit this ordering: the first member declares a symlink pointing to an absolute path (e.g., '/'), which is deferred as unsafe but flushed after the first member. The second member declares a regular file whose path traverses the now-live symlink, resulting in a file being written outside the intended extraction directory. This could allow an attacker to write arbitrary files to arbitrary locations when a user extracts a crafted .deb package.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS