BusyBox tar: Fehlerhafte Linkauflösung erlaubt Schreibzugriff ausserhalb des Zielverzeichnisses

Zusammenfassung

Das tar-Applet in BusyBox löst verzögerte Hardlink-Ziele über symbolische Links, die ausserhalb des vorgesehenen Extraktionsverzeichnisses liegen, fehlerhaft auf (CWE-59). Ein Angreifer kann ein präpariertes Archiv bereitstellen, sodass nachfolgende Extraktionsvorgänge beliebige Dateien auf dem System überschreiben. Für die Ausnutzung muss ein Benutzer oder ein automatisierter Prozess das Archiv extrahieren; der CVSS-Vektor setzt lokalen Zugriff, hohe Komplexität und Benutzerinteraktion voraus.

Betroffen

• Unbekannt. Konkrete BusyBox-Versionen sind nicht bestätigt.
• Der Red-Hat-CVE-Eintrag listet Red Hat Hardened Images standardmässig als betroffen und Red Hat Enterprise Linux 6 standardmässig als nicht betroffen.

Behoben in

Unbekannt.

Umgehung

Red Hat gibt an, dass derzeit keine geeignete Massnahme verfügbar ist. Vorläufige Vorsichtsmassnahmen:

• Keine nicht vertrauenswürdigen tar-Archive mit BusyBox tar entpacken, insbesondere nicht als root oder mit erhöhten Rechten.
• Archive ablehnen, die Symlink- oder Hardlink-Einträge mit absoluten oder traversierenden Zielen enthalten.
• Archive in ein dediziertes, unprivilegiertes Verzeichnis entpacken und dieses nicht für Archive aus unterschiedlichen Quellen wiederverwenden.

Ausnutzung

• Zum Zeitpunkt der Veröffentlichung ist keine Ausnutzung bekannt.
• Es ist kein öffentlicher Exploit und kein Eintrag im CISA-KEV-Katalog bekannt.

Unsere Empfehlung

• Den Einsatz von BusyBox inventarisieren, einschliesslich Container-Basisimages, Appliance-Firmware und eingebetteten Geräten.
• Die automatisierte Extraktion nicht vertrauenswürdiger Archive einschränken, insbesondere bei Backup-Wiederherstellungen, CI/CD-Pipelines und Container-Build-Schritten.
• Die oben genannten Vorsichtsmassnahmen anwenden, bis eine Korrektur bestätigt ist.
• Das Red-Hat-Advisory und die Firmware- oder Image-Updates Ihrer Hersteller prüfen und nach Veröffentlichung einspielen.
• CVE-2026-108119 verfolgen, da ein Zusammenhang möglich ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Red Hat CVE page CVE-2026-124745 access.redhat.com
• Red Hat Bugzilla 2571637 bugzilla.redhat.com
• CVE Program record CVE-2026-124745 www.cve.org
• OffSeq threat radar CVE-2026-124745 radar.offseq.com
• OpenCVE CVE-2026-108119 (possibly related) app.opencve.io
• SentinelOne CVE-2026-26158 (related fix context) www.sentinelone.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 14:28.