CVE-2026-26158
WysokieCVSS 7.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
W BusyBox odkryto podatność umożliwiającą modyfikację plików poza docelowym katalogiem wypakowania poprzez spreparowane archiwum tar z niezweryfikowanymi dowiązaniami twardymi lub symbolicznymi. Wypakowanie takiego archiwum z podwyższonymi uprawnieniami może prowadzić do eskalacji uprawnień.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do krytycznych plików systemowych, co w przypadku wypakowania archiwum z uprawnieniami administratora może skutkować pełnym przejęciem kontroli nad systemem.
Rekomendacja
Należy niezwłocznie zaktualizować BusyBox do wersji, w której usunięto tę podatność, oraz unikać wypakowywania archiwów tar z nieznanych źródeł z podwyższonymi uprawnieniami.
Inne podatności w BusyBox
Zobacz wszystkie- CVE-2026-88836Nieznane
Ten kandydat CVE został odrzucony przez Red Hat Product Security, ponieważ nie jest to podatność bezpieczeństwa. Wewnętrzny TLS w BusyBox jest celowo minimalny i dokumentuje w FEATURE_WGET_HTTPS, że nie weryfikuje tożsamości peerów ani nie zapewnia pełnego bezpieczeństwa TLS; brak sprawdzania danych Finished jest zgodny z tym udokumentowanym projektem i nie przekracza granicy bezpieczeństwa uzasadniającej CVE.
- CVE-2024-58251Niskie
W netstat w BusyBox do wersji 1.37.0 lokalni użytkownicy mogą uruchomić aplikację sieciową z argv[0] zawierającym sekwencję ucieczki terminala ANSI, co prowadzi do odmowy usługi (zablokowanie terminala) u ofiary korzystającej z netstat.
- CVE-2023-42365Średnie
W BusyBox v.1.36.1 odkryto podatność use-after-free poprzez spreparowany wzorzec awk w funkcji copyvar w awk.c.
- CVE-2023-42364Średnie
W BusyBox w wersji 1.36.1 występuje podatność use-after-free w funkcji evaluate w pliku awk.c. Atakujący może spowodować odmowę usługi za pomocą spreparowanego wzorca awk.
- CVE-2023-42363Średnie
W BusyBox w wersji 1.36.1 odkryto lukę use-after-free w funkcji xasprintf w pliku xfuncs_printf.c:344.
- CVE-2017-16544Wysokie
W funkcji add_match w libbb/lineedit.c w BusyBox do wersji 1.27.2, funkcja autouzupełniania tabulatora nie sanitizuje nazw plików, co może prowadzić do wykonania dowolnych sekwencji ucieczki w terminalu.
- CVE-2011-5325Wysokie
Podatność na przejście do katalogu w implementacji tar w BusyBox przed wersją 1.22.0 v5 umożliwia zdalnym atakującym wskazywanie na pliki znajdujące się poza bieżącym katalogiem roboczym za pomocą symlinków.
- CVE-2016-2147Wysokie
Przepełnienie całkowite w kliencie DHCP (udhcpc) w BusyBox przed wersją 1.25.0 umożliwia zdalnym atakującym spowodowanie awarii (denial of service) poprzez złośliwie skonstruowaną nazwę domeny zakodowaną zgodnie z RFC1035, co prowadzi do zapisu poza granicami sterty.
- CVE-2016-6301Wysokie
Funkcja recv_and_process_client_pkt w pliku networking/ntpd.c w busybox umożliwia zdalnym atakującym spowodowanie odmowy usługi poprzez sfałszowany pakiet NTP, co prowadzi do pętli komunikacyjnej.
- CVE-2026-88841Niskie
Podatność w BusyBox dotyczy funkcji write_status_file() w narzędziu dpkg. Brak resetowania kursora pól między sekcjami pakietów prowadzi do odczytów poza zakresem oraz uszkodzenia pliku statusu podczas usuwania wielu pakietów.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in BusyBox. This vulnerability allows an attacker to modify files outside of the intended extraction directory by crafting a malicious tar archive containing unvalidated hardlink or symlink entries. If the tar archive is extracted with elevated privileges, this flaw can lead to privilege escalation, enabling an attacker to gain unauthorized access to critical system files.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS