BusyBox cpio: Hardlink-Pfadtraversierung ermöglicht Überschreiben von Dateien

Zusammenfassung

Eine Schwachstelle im cpio-Archivwerkzeug von BusyBox erlaubt es, dass Hardlink-Zielpfade das Zielverzeichnis verlassen, wenn Path-Traversal-Schutz aktiviert ist. Wird ein manipuliertes Archiv von einem Benutzer oder einem automatisierten Prozess entpackt, kann ein Angreifer Hardlinks auf Dateien ausserhalb des Zielverzeichnisses erstellen und diese bei einer späteren Extraktion verändern oder überschreiben. Der Angriff ist lokal, erfordert eine hohe Komplexität und setzt voraus, dass ein Benutzer oder Workflow das unsichere Archiv entpackt.

Betroffen

• Red Hat Hardened Images (Standard: betroffen, gemäss CNA-Eintrag von Red Hat)
• Red Hat Enterprise Linux 6 (Standard: nicht betroffen, gemäss CNA-Eintrag von Red Hat)
• Versionen: Unbekannt. Drittanbieter-Aggregatoren listen 'All versions' für Red Hat Hardened Images, was Red Hat nicht bestätigt hat.
• Nur relevant, wenn BusyBox mit aktiviertem FEATURE_PATH_TRAVERSAL_PROTECTION kompiliert wurde.

Behoben in

Unbekannt. Es ist noch keine korrigierte Version oder kein Red Hat Advisory veröffentlicht.

Umgehung

• Prüfen, ob BusyBox mit aktiviertem FEATURE_PATH_TRAVERSAL_PROTECTION kompiliert ist. Die Schwachstelle betrifft nur diesen Fall.
• Bis ein korrigierter Build verfügbar ist, das Entpacken unsicherer cpio-Archive mit BusyBox cpio vermeiden.
• Falls das Entpacken unumgänglich ist, das Archiv in einem isolierten Verzeichnis als unprivilegierter Benutzer entpacken und prüfen, dass keine Dateien ausserhalb dieses Verzeichnisses geschrieben wurden.
• Red Hat gibt an, dass keine Massnahme verfügbar ist, die deren Kriterien erfüllt.

Ausnutzung

• Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird. Der CVE ist nicht im CISA KEV-Katalog gelistet.
• Kein öffentlicher Proof of Concept gefunden. Dies ist als unbekannt, nicht als nicht vorhanden zu werten.
• Gemeldet an Red Hat am 25. Okt. 2026, veröffentlicht am 11. Nov. 2026.

Unsere Empfehlung

• Prüfen, ob BusyBox cpio mit aktiviertem Path-Traversal-Schutz in Ihren Images, Firmware oder Appliances eingesetzt wird, insbesondere in Update-, Import- oder CI-Pipelines.
• Das automatische Entpacken unsicherer Archive mit betroffenen Builds stoppen, bis eine Korrektur verfügbar ist.
• Die Red Hat Errata sofort nach Veröffentlichung einspielen und die Bewertung erneut prüfen, sobald die NVD-Analyse vorliegt.
• Priorität: mittel für Systeme, die Archive externer Parteien verarbeiten, tief für typische Büroarbeitsplätze.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Red Hat CVE record CVE-2026-124744 access.redhat.com
• Red Hat Bugzilla 2571625 bugzilla.redhat.com
• Microsoft Azure Linux pull request 19677 (related BusyBox backport, not confirmed as fix) github.com
• CVE-2026-124744 on threatint.com cve.threatint.com
• CVE-2026-124744 on Strix www.strix.ai
• SentinelOne CVE-2026-26158 (related BusyBox archive issue) www.sentinelone.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 14:30.