BusyBox httpd: Authentifizierungsumgehung für vorkomprimierte .gz-Dateien

Zusammenfassung

Wenn BusyBox httpd mit Unterstützung für vorkomprimierte Dateien (gzip-Content-Encoding) gebaut wird, werden Passwortregeln nur für den angefragten Pfad geprüft und nicht für die tatsächlich ausgelieferte .gz-Datei. Ein Angreifer aus dem Netzwerk kann den unkomprimierten Pfad mit Accept-Encoding: gzip anfordern, den Schutz der komprimierten Datei umgehen und vertrauliche Inhalte lesen. Betroffen ist nur die Vertraulichkeit; ausgenutzt werden kann die Lücke nur, wenn Passwortregeln auf einzelne .gz-Dateien gesetzt sind und der Dienst im Netzwerk erreichbar ist.

Betroffen

• BusyBox-httpd-Builds mit aktivierter gzip-Option (vorkomprimierte Dateien); betroffene Versionen: Unbekannt.
• Red Hat Hardened Images: betroffen (gemäss Red-Hat-CVE-Eintrag).
• Red Hat Enterprise Linux 6: standardmässig nicht betroffen (gemäss Red-Hat-CVE-Eintrag).
• Red Hat Enterprise Linux (andere Versionen): Unbekannt, die Quellen widersprechen sich.

Behoben in

Unbekannt. In den Quellen wurde weder eine korrigierte Version noch ein Errata oder ein Upstream-Fix für BusyBox identifiziert.

Umgehung

• Authentifizierungsregeln für das übergeordnete Verzeichnis statt für einzelne Dateipfade definieren.
• Falls dateispezifische Regeln nötig sind, sowohl die Basisdatei als auch die .gz-Datei schützen (zum Beispiel /secret.txt und /secret.txt.gz).
• Den Netzwerkzugriff auf den httpd-Dienst mit lokalen Firewall-Regeln einschränken, wenn kein Fernzugriff nötig ist.
• Wenn vorkomprimierte Auslieferung nicht benötigt wird, BusyBox ohne gzip-Option neu bauen oder neu konfigurieren.
• Hinweis: Änderungen an httpd.conf erfordern einen Neustart oder Reload von httpd, wodurch aktive Sitzungen unterbrochen werden.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn.
• Gemäss den Quellen nicht im CISA-KEV-Katalog aufgeführt.
• Kein öffentlicher Proof of Concept oder Exploit-Code indexiert.
• VulDB nennt eine spekulative Preisspanne für einen Exploit von USD 5k bis 25k; dies ist eine Schätzung und kein Beleg für eine Nutzung.

Unsere Empfehlung

• Prüfen, ob Geräte, Appliances oder Container BusyBox httpd mit passwortgeschützten Pfaden betreiben.
• Red Hat Hardened Images in der eigenen Umgebung prüfen, da Red Hat diese als betroffen einstuft.
• Die Workarounds mit verzeichnisbasierter Authentifizierung oder dem Schutz des Dateipaars jetzt anwenden.
• Netzwerkexposition des httpd-Dienstes einschränken und die gzip-Option deaktivieren, falls sie nicht benötigt wird.
• Die Herstellermeldung verfolgen und einen korrigierten Build einspielen, sobald verfügbar.
• Ausserdem CVE-2026-124739 (Bewertung 7.5) prüfen, falls BusyBox httpd im Einsatz ist, da es sich um eine gravierendere httpd-Lücke aus derselben Serie handelt.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Red Hat CVE record CVE-2026-124738 access.redhat.com
• Red Hat Bugzilla 2571610 bugzilla.redhat.com
• CVE Program record CVE-2026-124738 www.cve.org
• VulDB entry 435747 vuldb.com
• OffSeq radar entry (Red Hat Hardened Images) radar.offseq.com
• BusyBox httpd.c source (gzip option help text) lxr.missinglinkelectronics.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:48.