CVE-2026-60122
Açıklama
release-3.27.5 sürümüne kadar olan gpsd, 4c06658 commit'inde düzeltilen, gpsprof aracında bir kod enjeksiyonu zafiyeti içermektedir; bu durum, GPS giriş verilerini kontrol eden bir saldırganın, sanitize edilmeden bir gnuplot heredoc veri bloğuna yerleştirilen SKY.satellites[].used alanına kötü niyetli içerik enjekte ederek keyfi işletim sistemi komutları çalıştırmasına olanak tanır. Saldırganlar, heredoc'u erken sonlandırmak için EOD dizesini içeren bir used değeri sağlayabilir ve ardından gnuplot system() çağrılarını ekleyebilirler; böylece oluşturulan çizim betiği gnuplot tarafından polar modda işlendiğinde, gpsprof'u çalıştıran kullanıcı yetkileriyle işletim sistemi komut çalıştırma işlemi gerçekleştirilebilir.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gpsd gpsd | v ≤ 3.27.5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.