CVE-2026-58459
Açıklama
release-3.27.5 sürümüne kadar olan gpsd, 4c06658 commit'i ile düzeltilen ve gpsprof bileşeninde komut enjeksiyonu zafiyeti içermektedir; bu durum, GPS cihaz alt tip değerini kontrol eden saldırganların, uygun kaçış karakterleri kullanılmadan gnuplot çizim başlığına ters tırnak (backtick) yükleri yerleştirerek rastgele kabuk komutları yürütmesine olanak tanır. Bir DEVICES JSON günlük girdisinden veya NMEA PGRMT cümlesinden alınan alt tip alanı, yalnızca çift tırnak karakterleri kaçırılarak bir set title ifadesi aracılığıyla oluşturulan gnuplot programına yazılır; bu da mağdur, oluşturulan çizimi gpsprof ve gnuplot iş akışı üzerinden işlediğinde, gnuplot'u çalıştıran kullanıcı olarak rastgele kabuk komutu yürütülmesini sağlar.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gpsd_project gpsd | v ≤ 3.27.5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.