CVE-2026-90954
Açıklama
BusyBox'ın dpkg-deb arşiv çıkarma işleminde bir hata bulundu. Tar, cpio ve unzip işleyicilerinin aksine, ar arşiv işleyicisi ertelenmiş sembolik bağlantıları her arşiv üyesinden sonra temizlemektedir. İki adet data.tar üyesi içeren özel olarak hazırlanmış bir .deb arşivi bu sıralamayı istismar edebilir: ilk üye mutlak bir yola (örneğin '/') işaret eden bir sembolik bağlantı tanımlar; bu bağlantı güvensiz olduğu için ertelenir ancak ilk üyeden sonra temizlenerek etkinleştirilir. İkinci üye, yolu artık aktif olan bu sembolik bağlantıyı geçen normal bir dosya tanımlayarak, dosyanın hedeflenen çıkarma dizininin dışına yazılmasına neden olur. Bu durum, bir kullanıcı hazırlanmış bir .deb paketini çıkardığında, saldırganın rastgele konumlara rastgele dosyalar yazmasına izin verebilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| microsoft azl3_busybox_1.36.1-27 | Aralık belirtilmemiş | — |
| microsoft azl3_busybox_1.36.1-28 | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.