CVE-2026-84243
WysokieCVSS 7.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece GNU C Library (glibc) w wersji 2.0 i późniejszych dotyczy funkcji gettext, które akceptują wpisy zmiennej środowiskowej LANGUAGE zawierające '/' lub równe '..'. Pozwala to atakującemu na załadowanie spreparowanego pliku katalogu komunikatów (.mo) z dowolnej lokalizacji w systemie plików, co może doprowadzić do awarii programu lub wykonania dowolnego kodu z uprawnieniami programu. Podatność nie jest objęta wcześniejszą poprawką CVE-2014-0475, która dotyczyła innych zmiennych środowiskowych.
Ocena ryzyka
Organizacja może być narażona na wykonanie dowolnego kodu lub awarię aplikacji, jeśli atakujący ma możliwość ustawienia zmiennych LANGUAGE i LANG/LC_ALL w środowisku programu korzystającego z gettext, np. przez serwer SSH z dyrektywą AcceptEnv. Może to pozwolić na obejście ograniczeń konta i eskalację uprawnień.
Rekomendacja
Zaktualizuj GNU C Library do wersji zawierającej poprawkę dla CVE-2026-84243. Dodatkowo ogranicz akceptowanie zmiennych LANGUAGE i LANG/LC_ALL z niezaufanych źródeł (np. wyłącz lub zawęź AcceptEnv w SSH) oraz upewnij się, że katalogi z katalogami komunikatów są niedostępne do zapisu dla użytkowników.
Inne podatności w GNU C Library
Zobacz wszystkie- CVE-2026-0861Wysokie
Przekazanie zbyt dużego wyrównania do funkcji z rodziny memalign (memalign, posix_memalign, aligned_alloc) w GNU C Library w wersjach 2.30 do 2.42 może spowodować przepełnienie liczb całkowitych, a w konsekwencji uszkodzenie sterty. Aby wykorzystać podatność, atakujący musi kontrolować zarówno rozmiar, jak i wyrównanie przekazywane do funkcji; rozmiar musi być bliski PTRDIFF_MAX, a wyrównanie w zakresie [1<<62+1, 1<<63] (dla posix_memalign i aligned_alloc dokładnie 1<<63). W praktyce wyrównanie zwykle nie jest kontrolowane przez atakującego, więc wykorzystanie jest mało prawdopodobne.
- CVE-2024-2961Wysokie
Funkcja iconv() w bibliotece GNU C w wersjach 2.39 i starszych może przepełnić bufor wyjściowy o maksymalnie 4 bajty podczas konwersji ciągów do zestawu znaków ISO-2022-CN-EXT. Może to prowadzić do awarii aplikacji lub nadpisania sąsiedniej zmiennej.
- CVE-2025-0395Średnie
W GNU C Library w wersjach 2.13 do 2.40, funkcja assert() przy błędzie nie alokuje wystarczającej ilości miejsca na komunikat o błędzie asercji i informacje o rozmiarze, co może prowadzić do przepełnienia bufora, jeśli rozmiar komunikatu jest wyrównany do rozmiaru strony.
- CVE-2025-4802Średnie
W GNU C Library w wersjach 2.27 do 2.38, podatność na nieufną zmienną środowiskową LD_LIBRARY_PATH pozwala na ładowanie dynamicznie współdzielonych bibliotek kontrolowanych przez atakującego w statycznie skompilowanych binariach setuid, które wywołują dlopen (w tym wewnętrzne wywołania dlopen po setlocale lub wywołania funkcji NSS).
- CVE-2026-5450Krytyczne
Podatność w bibliotece GNU C Library (glibc) w wersjach od 2.7 do 2.43. Wywołanie funkcji z rodziny scanf z formatem %mc (dopasowanie znaku z alokacją pamięci) i jawną szerokością większą niż 1024 może prowadzić do przepełnienia sterty o jeden bajt.
- CVE-2023-4911WysokieAktywnie exploitowane
W bibliotece GNU C Library odkryto przepełnienie bufora w dynamicznym loaderze ld.so podczas przetwarzania zmiennej środowiskowej GLIBC_TUNABLES. Problem ten może umożliwić lokalnemu atakującemu wykorzystanie złośliwie skonstruowanych zmiennych środowiskowych GLIBC_TUNABLES przy uruchamianiu binariów z uprawnieniami SUID do wykonania kodu z podwyższonymi uprawnieniami.
- CVE-2020-6096Wysokie
Podatność na porównanie ze znakiem istnieje w implementacji memcpy() dla ARMv7 w GNU glibc 2.30.9000. Wywołanie memcpy() z ujemną wartością parametru 'num' prowadzi do podatności na porównanie ze znakiem, co może skutkować zapisem poza pamięcią i potencjalnie zdalnym wykonaniem kodu.
- CVE-2018-19591Wysokie
W GNU C Library (glibc) do wersji 2.28, próba rozwiązania spreparowanej nazwy hosta przez funkcję getaddrinfo() prowadzi do przydzielenia deskryptora gniazda, który nie jest zamykany. Problem jest związany z funkcją if_nametoindex().
- CVE-2026-97399Niskie
Funkcja strncasecmp w bibliotece GNU C Library w wersji 2.24 i późniejszych, zoptymalizowana dla architektury Power8, może odczytać jeden bajt poza limit rozmiaru wejściowego, co może spowodować awarię programu, gdy ten bajt nie jest czytelny. Sytuacja występuje, gdy ciągi wejściowe są kontrolowane przez atakującego i pasują aż do granicy strony, a sąsiednia strona nie jest zmapowana lub nie jest czytelna.
- CVE-2026-8674Średnie
Inicjalizacja resolvera DNS z pliku /etc/resolv.conf lub zmiennej środowiskowej LOCALDOMAIN, gdy lista wyszukiwania zawiera domenę o długości około 200 znaków lub więcej, w GNU C Library w wersjach 2.26 do 2.44 powoduje błąd asercji, który przerywa proces. Resolver obcina listę wyszukiwania przy kopiowaniu do bufora o stałym rozmiarze _res.defdname, ale kontrola spójności porównuje z niewłaściwym rozmiarem i nie obsługuje pierwszego wpisu, który się nie mieści, co prowadzi do niepowodzenia asercji.
Oryginalny opis (angielski, źródło NVD)
The gettext family of functions in the GNU C Library version 2.0 and later accept LANGUAGE environment variable entries that contain '/' or that are equal to "..", unless the program is setuid or setgid (AT_SECURE). An attacker who can set LANGUAGE in the environment of a program that uses gettext can make it load a message catalog (.mo file) from an arbitrary location in the file system. A crafted .mo file can crash the program through out-of-range offsets, or supply translations whose format directives do not match the arguments passed by the program. That causes undefined behaviour in the printf family of functions and may allow arbitrary code execution with the privileges of the program. The safety of message catalogs relies on them being installed in trusted, read-only locations, and the directory traversal bypasses this. The fix for CVE-2014-0475 rejects ".." path components in locale names passed to setlocale or taken from the LC_ALL, LC_* and LANG environment variables. gettext reads LANGUAGE directly and appends each colon-separated entry to the message catalog directory, so that fix did not cover LANGUAGE. LANGUAGE is only used when the LC_MESSAGES locale is not "C", "C.<encoding>" or "POSIX", so the attacker must also be able to select another installed locale, for example through LANG or LC_ALL. Exploitation also requires that the attacker can place the crafted file in a location readable by the target program, and that the environment crosses a trust boundary without the program running as AT_SECURE. An example is an SSH server that accepts LANGUAGE and LANG from clients through the AcceptEnv directive and restricts an account to a forced command; the attacker may use this to escape the restriction.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS