CVE-2025-14946

ŚrednieCVSS 4.8

Opublikowano: 19/12/2025(UTC)Zaktualizowano: 05/11/2026(UTC)Przetłumaczono: 01/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.14%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

W bibliotece libnbd znaleziono błąd. Złośliwy atakujący może wykorzystać tę podatność, przekonując libnbd do otwarcia specjalnie spreparowanego URI. Podatność wynika z tego, że niestandardowe nazwy hostów zaczynające się od '-o' są błędnie interpretowane jako argumenty dla procesu SSH, a nie jako nazwy hostów. Może to prowadzić do wykonania dowolnego kodu z uprawnieniami użytkownika uruchamiającego libnbd.

Ocena ryzyka

Ryzyko polega na możliwości zdalnego wykonania kodu przez atakującego, jeśli użytkownik otworzy złośliwy URI. Może to prowadzić do przejęcia systemu, kradzieży danych lub dalszych ataków.

Rekomendacja

Zaleca się aktualizację biblioteki libnbd do wersji z poprawką. Należy również edukować użytkowników o ryzyku otwierania nieznanych URI i stosować zasady najmniejszych uprawnień.

Inne podatności w libnbd

CVE-2023-5871Średnie
W libnbd wykryto błąd związany ze złośliwym serwerem Network Block Device (NBD), protokołem dostępu do urządzeń blokowych przez sieć. Może to pozwolić złośliwemu serwerowi NBD na spowodowanie odmowy usługi.

Oryginalny opis (angielski, źródło NVD)

A flaw was found in libnbd. A malicious actor could exploit this by convincing libnbd to open a specially crafted Uniform Resource Identifier (URI). This vulnerability arises because non-standard hostnames starting with '-o' are incorrectly interpreted as arguments to the Secure Shell (SSH) process, rather than as hostnames. This could lead to arbitrary code execution with the privileges of the user running libnbd.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS