BusyBox httpd: Stack-basierter Pufferüberlauf bei Unterverzeichnis-Konfiguration

Zusammenfassung

BusyBox httpd, der kleine Webserver-Applet von BusyBox, enthält einen stack-basierten Pufferüberlauf (CWE-787). Er wird ausgelöst, wenn der Server Konfigurationsdateien in Unterverzeichnissen verarbeitet, die einen übermässig langen Namen für die Indexseite enthalten. Ein Angreifer, der in eine solche Konfigurationsdatei schreiben kann, könnte beliebigen Code mit erhöhten Rechten ausführen oder den Serverprozess zum Absturz bringen. Red Hat stuft die Lücke als Important ein; die Voraussetzung von Schreibzugriff auf die bereitgestellten Verzeichnisse begrenzt das Risiko auf Systeme, auf denen BusyBox httpd läuft.

Betroffen

• Red Hat Enterprise Linux 6 (busybox), gemäss Red Hat CVE-Eintrag
• Red Hat Hardened Images (busybox), gemäss Red Hat CVE-Eintrag
• Andere BusyBox-Versionen und Distributionen: Unbekannt.

Behoben in

Unbekannt. Zum Zeitpunkt der Erfassung wurde weder ein Red Hat Errata noch ein Upstream-Fix von BusyBox für diese CVE gefunden.

Umgehung

• Schreibrechte auf das Web-Root-Verzeichnis und alle von httpd bereitgestellten Unterverzeichnisse auf administrative Konten beschränken (chmod -R o-w /path/to/webroot).
• httpd mit der Option -u als unprivilegierter Benutzer starten (zum Beispiel busybox httpd -u nobody). Ein Neustart ist erforderlich.
• BusyBox httpd stoppen oder entfernen, wo er nicht benötigt wird.

Ausnutzung

• Kein öffentlicher Exploit bekannt.
• Nicht bekanntermassen in freier Wildbahn ausgenutzt.
• Soweit überprüft, nicht im CISA-KEV-Katalog aufgeführt.

Unsere Empfehlung

• Prüfen Sie, ob Geräte, Appliances oder Container in Ihrer Umgebung BusyBox httpd betreiben.
• Schreibzugriff auf Web- und Unterverzeichnisse jetzt einschränken und den Herstellerfix einspielen, sobald dieser bestätigt ist.
• Die NVD-Analyse und das Red Hat Advisory verfolgen, da die Bewertungen zwischen den Quellen abweichen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Red Hat CVE record CVE-2026-124739 access.redhat.com
• Red Hat Bugzilla 2571613 bugzilla.redhat.com
• VulDB entry 435738 vuldb.com
• OffSeq Radar mirror of Red Hat record radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 12:24.