CVE-2026-92205
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W komponencie libarchive w BusyBox występuje podatność na path traversal przez dowiązania symboliczne, umożliwiająca zdalnym atakującym tworzenie dowolnych plików. Wymagana jest interakcja użytkownika — ofiara musi odwiedzić złośliwą stronę lub otworzyć złośliwy plik. Problem wynika z braku właściwej walidacji ścieżki dostarczonej przez użytkownika przed użyciem jej w operacjach na plikach.
Ocena ryzyka
Atakujący może tworzyć pliki w kontekście bieżącego użytkownika, co może prowadzić do nadpisania istotnych plików lub dalszej eskalacji ataku.
Rekomendacja
Zaktualizuj BusyBox do wersji zawierającej poprawkę dla ZDI-CAN-27556 i unikaj otwierania niezaufanych archiwów.
Inne podatności w BusyBox
Zobacz wszystkie- CVE-2026-88836Nieznane
Ten kandydat CVE został odrzucony przez Red Hat Product Security, ponieważ nie jest to podatność bezpieczeństwa. Wewnętrzny TLS w BusyBox jest celowo minimalny i dokumentuje w FEATURE_WGET_HTTPS, że nie weryfikuje tożsamości peerów ani nie zapewnia pełnego bezpieczeństwa TLS; brak sprawdzania danych Finished jest zgodny z tym udokumentowanym projektem i nie przekracza granicy bezpieczeństwa uzasadniającej CVE.
- CVE-2024-58251Niskie
W netstat w BusyBox do wersji 1.37.0 lokalni użytkownicy mogą uruchomić aplikację sieciową z argv[0] zawierającym sekwencję ucieczki terminala ANSI, co prowadzi do odmowy usługi (zablokowanie terminala) u ofiary korzystającej z netstat.
- CVE-2023-42365Średnie
W BusyBox v.1.36.1 odkryto podatność use-after-free poprzez spreparowany wzorzec awk w funkcji copyvar w awk.c.
- CVE-2023-42364Średnie
W BusyBox w wersji 1.36.1 występuje podatność use-after-free w funkcji evaluate w pliku awk.c. Atakujący może spowodować odmowę usługi za pomocą spreparowanego wzorca awk.
- CVE-2023-42363Średnie
W BusyBox w wersji 1.36.1 odkryto lukę use-after-free w funkcji xasprintf w pliku xfuncs_printf.c:344.
- CVE-2017-16544Wysokie
W funkcji add_match w libbb/lineedit.c w BusyBox do wersji 1.27.2, funkcja autouzupełniania tabulatora nie sanitizuje nazw plików, co może prowadzić do wykonania dowolnych sekwencji ucieczki w terminalu.
- CVE-2011-5325Wysokie
Podatność na przejście do katalogu w implementacji tar w BusyBox przed wersją 1.22.0 v5 umożliwia zdalnym atakującym wskazywanie na pliki znajdujące się poza bieżącym katalogiem roboczym za pomocą symlinków.
- CVE-2016-2147Wysokie
Przepełnienie całkowite w kliencie DHCP (udhcpc) w BusyBox przed wersją 1.25.0 umożliwia zdalnym atakującym spowodowanie awarii (denial of service) poprzez złośliwie skonstruowaną nazwę domeny zakodowaną zgodnie z RFC1035, co prowadzi do zapisu poza granicami sterty.
- CVE-2016-6301Wysokie
Funkcja recv_and_process_client_pkt w pliku networking/ntpd.c w busybox umożliwia zdalnym atakującym spowodowanie odmowy usługi poprzez sfałszowany pakiet NTP, co prowadzi do pętli komunikacyjnej.
- CVE-2026-88841Niskie
Podatność w BusyBox dotyczy funkcji write_status_file() w narzędziu dpkg. Brak resetowania kursora pól między sekcjami pakietów prowadzi do odczytów poza zakresem oraz uszkodzenia pliku statusu podczas usuwania wielu pakietów.
Oryginalny opis (angielski, źródło NVD)
BusyBox libarchive Symlink Directory Traversal Arbitrary File Creation Vulnerability. This vulnerability allows remote attackers to create arbitrary files on affected installations of BusyBox. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file. The specific flaw exists within the libarchive component. The issue results from the lack of proper validation of a user-supplied path prior to using it in file operations. An attacker can leverage this vulnerability to create files in the context of the current user. Was ZDI-CAN-27556.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS