CVE-2026-95520

Wada przepełnienia bufora na stercie w rpm. RPMTAG_FILESIGNATURES w spreparowanym, niepodpisanym pakiecie RPM jest zadeklarowany z niewłaściwym typem nagłówka, co powoduje, że hex2binv() przydziela jednobajtowy bufor, a następnie zapisuje zawartość sterowaną przez atakującego poza przydział. Jest to osiągalne przez rpm2cpio, rpm2archive i rpm -qlvp na niezaufanym pakiecie.

Wersje rpm przed 4.13.0.2 używają tymczasowych plików z przewidywalnymi nazwami podczas instalacji RPM. Atakujący, mający możliwość zapisu w katalogu, w którym będą instalowane pliki, może stworzyć dowiązania symboliczne do dowolnej lokalizacji, co może prowadzić do modyfikacji zawartości i uprawnień do dowolnych plików.

Przepełnienie całkowitej liczby w RPM 4.12 i wcześniejszych wersjach umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowany nagłówek CPIO w sekcji ładunku pliku RPM, co prowadzi do przepełnienia bufora na stosie.

W RPM w wersji 4.11.1 i wcześniejszych występuje warunek wyścigu, który pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez spreparowany plik RPM. Problem polega na tym, że instalacja pliku najpierw wydobywa zawartość do plików tymczasowych, zanim zweryfikuje podpis.

W rpm wykryto lukę command injection. Instalacja lub przebudowa źródłowego RPM, którego nazwy plików źródłowych lub spec zawierają konstrukcję makra %(), powoduje wykonanie przez rpm polecenia powłoki kontrolowanego przez atakującego poprzez popen() podczas relokacji listy plików źródłowych.

W rpm wykryto lukę. Atakujący może dostarczyć spreparowany plik manifestu, który po przetworzeniu przez użytkownika lub automatyzację za pomocą `rpm -q -p` lub podobnych przepływów prowadzi do wykonania dowolnego kodu. Dzieje się tak, ponieważ wpisy manifestu są nieoczekiwanie rozwijane makrami przed otwarciem, co pozwala na uruchomienie osadzonych poleceń powłoki.

W narzędziu rpmuncompress znaleziono podatność na wstrzykiwanie poleceń. Lokalny atakujący może wykonać dowolne polecenia, gdy rpmuncompress przetwarza specjalnie spreparowaną nazwę archiwum zawierającą metaznaki powłoki, które nie są poprawnie escapowane przed przekazaniem do poleceń powłoki.

W narzędziu rpm znaleziono podatność na wstrzykiwanie poleceń. Atakujący może wpłynąć na ścieżkę lub nazwę pliku tarballa przetwarzanego przez `rpmbuild -t*`, aby zawierała metaznaki powłoki, co pozwala na wykonanie dowolnych poleceń z uprawnieniami użytkownika budującego.

W rpm znaleziono błąd. Lokalny atakujący może dostarczyć specjalnie spreparowaną nazwę pliku `.gem` zawierającą składnię makr RPM. Gdy użytkownik lub zautomatyzowany przepływ pracy wywoła `rpmuncompress -x` na tym pliku, ekspansja makr następuje podczas konstruowania polecenia. Pozwala to atakującemu na wykonanie dowolnych poleceń z uprawnieniami konta wywołującego, co prowadzi do naruszenia poufności, integralności i dostępności.

Znaleziono podatność w przetwarzaniu archiwów tar przez rpmbuild w RPM. Podczas przetwarzania spreparowanego archiwum źródłowego funkcja getTarSpec() w tools/rpmbuild.cc przekazuje kontrolowaną przez atakującego nazwę członka archiwum tar do rpmExpand() jako część wyrażenia makra %{basename:...}.