CVE-2026-76014
NiskieCVSS 3.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
W BusyBox do wersji 1.30.1 wykryto podatność w pliku networking/wget.c, w komponencie FEATURE_WGET_TIMEOUT Handler. Manipulacja argumentem -T prowadzi do wyłuskania pustego wskaźnika (null pointer dereference). Atak wymaga dostępu lokalnego. Exploit został publicznie ujawniony, a dostępna jest poprawka (commit 83a40bf7a93c8ac093d33ab452222dd5b9eb57ff).
Ocena ryzyka
Lokalny atakujący może spowodować awarię programu wget, co może prowadzić do przerwania działania usług lub wykorzystania podatności do dalszych ataków.
Rekomendacja
Należy zastosować dostępną poprawkę (commit 83a40bf7a93c8ac093d33ab452222dd5b9eb57ff) lub zaktualizować BusyBox do nowszej wersji.
Inne podatności w BusyBox
Zobacz wszystkie- CVE-2026-88836Nieznane
Ten kandydat CVE został odrzucony przez Red Hat Product Security, ponieważ nie jest to podatność bezpieczeństwa. Wewnętrzny TLS w BusyBox jest celowo minimalny i dokumentuje w FEATURE_WGET_HTTPS, że nie weryfikuje tożsamości peerów ani nie zapewnia pełnego bezpieczeństwa TLS; brak sprawdzania danych Finished jest zgodny z tym udokumentowanym projektem i nie przekracza granicy bezpieczeństwa uzasadniającej CVE.
- CVE-2024-58251Niskie
W netstat w BusyBox do wersji 1.37.0 lokalni użytkownicy mogą uruchomić aplikację sieciową z argv[0] zawierającym sekwencję ucieczki terminala ANSI, co prowadzi do odmowy usługi (zablokowanie terminala) u ofiary korzystającej z netstat.
- CVE-2023-42365Średnie
W BusyBox v.1.36.1 odkryto podatność use-after-free poprzez spreparowany wzorzec awk w funkcji copyvar w awk.c.
- CVE-2023-42364Średnie
W BusyBox w wersji 1.36.1 występuje podatność use-after-free w funkcji evaluate w pliku awk.c. Atakujący może spowodować odmowę usługi za pomocą spreparowanego wzorca awk.
- CVE-2023-42363Średnie
W BusyBox w wersji 1.36.1 odkryto lukę use-after-free w funkcji xasprintf w pliku xfuncs_printf.c:344.
- CVE-2017-16544Wysokie
W funkcji add_match w libbb/lineedit.c w BusyBox do wersji 1.27.2, funkcja autouzupełniania tabulatora nie sanitizuje nazw plików, co może prowadzić do wykonania dowolnych sekwencji ucieczki w terminalu.
- CVE-2011-5325Wysokie
Podatność na przejście do katalogu w implementacji tar w BusyBox przed wersją 1.22.0 v5 umożliwia zdalnym atakującym wskazywanie na pliki znajdujące się poza bieżącym katalogiem roboczym za pomocą symlinków.
- CVE-2016-2147Wysokie
Przepełnienie całkowite w kliencie DHCP (udhcpc) w BusyBox przed wersją 1.25.0 umożliwia zdalnym atakującym spowodowanie awarii (denial of service) poprzez złośliwie skonstruowaną nazwę domeny zakodowaną zgodnie z RFC1035, co prowadzi do zapisu poza granicami sterty.
- CVE-2016-6301Wysokie
Funkcja recv_and_process_client_pkt w pliku networking/ntpd.c w busybox umożliwia zdalnym atakującym spowodowanie odmowy usługi poprzez sfałszowany pakiet NTP, co prowadzi do pętli komunikacyjnej.
- CVE-2026-88841Niskie
Podatność w BusyBox dotyczy funkcji write_status_file() w narzędziu dpkg. Brak resetowania kursora pól między sekcjami pakietów prowadzi do odczytów poza zakresem oraz uszkodzenia pliku statusu podczas usuwania wielu pakietów.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in BusyBox up to 1.30.1. This vulnerability affects unknown code of the file networking/wget.c of the component FEATURE_WGET_TIMEOUT Handler. Such manipulation of the argument -T leads to null pointer dereference. Local access is required to approach this attack. The exploit has been disclosed to the public and may be used. The name of the patch is 83a40bf7a93c8ac093d33ab452222dd5b9eb57ff. A patch should be applied to remediate this issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS