CVE-2026-108119
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
W busybox wykryto błąd w obsłudze odroczonego tworzenia dowiązań dla wpisów symlink i hardlink z celami wyglądającymi na niebezpieczne. Aplikacja tar nie sprawdza, czy rozwiązany cel pozostaje w katalogu rozpakowywania po utworzeniu odroczonego dowiązania. Atakujący może spreparować archiwum tar, używając celu symlinku dokładnie '..' w połączeniu z odroczonym hardlinkiem, aby utworzyć nowy plik poza katalogiem rozpakowywania lub zastąpić istniejący plik poza nim.
Ocena ryzyka
Jeśli archiwum jest rozpakowywane z podwyższonymi uprawnieniami, podatność może prowadzić do eskalacji uprawnień lub wykonania dowolnego kodu. Może to skutkować pełnym przejęciem systemu.
Rekomendacja
Zaktualizuj busybox do wersji zawierającej poprawkę. Unikaj rozpakowywania niezaufanych archiwów tar z podwyższonymi uprawnieniami.
Inne podatności w busybox
Zobacz wszystkie- CVE-2026-88836Nieznane
Ten kandydat CVE został odrzucony przez Red Hat Product Security, ponieważ nie jest to podatność bezpieczeństwa. Wewnętrzny TLS w BusyBox jest celowo minimalny i dokumentuje w FEATURE_WGET_HTTPS, że nie weryfikuje tożsamości peerów ani nie zapewnia pełnego bezpieczeństwa TLS; brak sprawdzania danych Finished jest zgodny z tym udokumentowanym projektem i nie przekracza granicy bezpieczeństwa uzasadniającej CVE.
- CVE-2024-58251Niskie
W netstat w BusyBox do wersji 1.37.0 lokalni użytkownicy mogą uruchomić aplikację sieciową z argv[0] zawierającym sekwencję ucieczki terminala ANSI, co prowadzi do odmowy usługi (zablokowanie terminala) u ofiary korzystającej z netstat.
- CVE-2023-42365Średnie
W BusyBox v.1.36.1 odkryto podatność use-after-free poprzez spreparowany wzorzec awk w funkcji copyvar w awk.c.
- CVE-2023-42364Średnie
W BusyBox w wersji 1.36.1 występuje podatność use-after-free w funkcji evaluate w pliku awk.c. Atakujący może spowodować odmowę usługi za pomocą spreparowanego wzorca awk.
- CVE-2023-42363Średnie
W BusyBox w wersji 1.36.1 odkryto lukę use-after-free w funkcji xasprintf w pliku xfuncs_printf.c:344.
- CVE-2017-16544Wysokie
W funkcji add_match w libbb/lineedit.c w BusyBox do wersji 1.27.2, funkcja autouzupełniania tabulatora nie sanitizuje nazw plików, co może prowadzić do wykonania dowolnych sekwencji ucieczki w terminalu.
- CVE-2011-5325Wysokie
Podatność na przejście do katalogu w implementacji tar w BusyBox przed wersją 1.22.0 v5 umożliwia zdalnym atakującym wskazywanie na pliki znajdujące się poza bieżącym katalogiem roboczym za pomocą symlinków.
- CVE-2016-2147Wysokie
Przepełnienie całkowite w kliencie DHCP (udhcpc) w BusyBox przed wersją 1.25.0 umożliwia zdalnym atakującym spowodowanie awarii (denial of service) poprzez złośliwie skonstruowaną nazwę domeny zakodowaną zgodnie z RFC1035, co prowadzi do zapisu poza granicami sterty.
- CVE-2016-6301Wysokie
Funkcja recv_and_process_client_pkt w pliku networking/ntpd.c w busybox umożliwia zdalnym atakującym spowodowanie odmowy usługi poprzez sfałszowany pakiet NTP, co prowadzi do pętli komunikacyjnej.
- CVE-2026-88841Niskie
Podatność w BusyBox dotyczy funkcji write_status_file() w narzędziu dpkg. Brak resetowania kursora pól między sekcjami pakietów prowadzi do odczytów poza zakresem oraz uszkodzenia pliku statusu podczas usuwania wielu pakietów.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in busybox. The tar applet's deferred link-creation handling for symlink and hardlink entries with unsafe-looking targets does not validate that the resolved destination remains inside the extraction directory once the deferred link is created. An attacker can craft a tar archive using a symlink target of exactly '..' combined with a deferred hardlink to create a new file outside the extraction directory, or reuse an extraction directory across two archives to replace an existing file outside it. If the archive is extracted with elevated privileges, this flaw can lead to privilege escalation or arbitrary code execution.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS