CVE-2026-90954

BusyBox-un dpkg-deb arxiv çıxarma prosesində çatışmazlıq aşkar edilmişdir. Tar, cpio və unzip idarəedicilərindən fərqli olaraq, ar arxiv idarəedicisi təxirə salınmış simvolik keçidləri hər bir arxiv üzvündən sonra təmizləyir (flush), digərləri isə bunu yalnız sonuncu üzvdən sonra bir dəfə edir. İki data.tar üzvü olan xüsusi hazırlanmış .deb arxivi bu ardıcıllıqdan istifadə edə bilər: birinci üzv mütləq yola (məsələn, '/') yönəlmiş simvolik keçid elan edir, bu təhlükəsiz olmadığı üçün təxirə salınır, lakin birinci üzvdən sonra təmizlənir. İkinci üzv yolu artıq aktiv olan həmin simvolik keçiddən keçən adi fayl elan edir ki, bu da faylın nəzərdə tutulmuş çıxarma kataloqundan kənara yazılmasına səbəb olur. Bu, istifadəçi xüsusi hazırlanmış .deb paketini çıxardıqda hücumçunun ixtiyari yerlərə ixtiyari faylları yazmasına şərait yarada bilər.