BusyBox dpkg-deb: Path Traversal über verzögerte Symlinks beim Entpacken von .deb-Paketen
Zusammenfassung
Der BusyBox-dpkg-deb-Applet, der Debian-.deb-Pakete entpackt, schreibt verzögerte Symlinks nach jedem ar-Archivmitglied, anders als die Handler für tar, cpio und unzip. Ein präpariertes .deb-Paket mit zwei data.tar-Mitgliedern kann einen Symlink auf einen absoluten Pfad anlegen und danach eine Datei über diesen Symlink ausserhalb des Entpackverzeichnisses schreiben. Ein Angreifer kann dadurch beliebige Dateien an beliebigen Orten ablegen, allerdings nur, wenn ein Benutzer oder ein automatisierter Prozess das präparierte Paket mit BusyBox dpkg-deb entpackt; eine Ausnutzung über das Netzwerk wird nicht beschrieben.
Betroffen
- Red Hat Hardened Images (in der CVE-Meldung standardmässig als betroffen aufgeführt)
- Debian bookworm, trixie und forky Einträge in OSV (genaue betroffene Versionen nicht verifiziert)
- Azure Linux Paket busybox 1.36.1-27
- Ubuntu: alle unterstützten Versionen als Needs evaluation aufgeführt
- Upstream-Versionsbereich von BusyBox: Unbekannt.
Behoben in
Unbekannt. Es wurde noch keine Hersteller-Fixversion bestätigt; die Sicherheitsübersicht der jeweiligen Distribution für das gepatchte Paket prüfen.
Umgehung
- BusyBox dpkg-deb nicht zum Entpacken nicht vertrauenswürdiger .deb-Pakete verwenden.
- Für Paketprüfung oder Entpacken die GNU-dpkg-deb-Implementierung verwenden.
- Falls BusyBox dpkg-deb zwingend nötig ist, .deb-Archive vor dem Entpacken auf mehr als ein data.tar-Mitglied prüfen; legitime Pakete enthalten genau eines.
- In Containern BusyBox entfernen, falls das Image es nicht benötigt.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Es wurde kein öffentlicher Proof of Concept und kein Hinweis auf Ausnutzung in freier Wildbahn gefunden.
- EPSS ist niedrig (0.00197).
Unsere Empfehlung
- Systeme, Skripte, CI-Jobs und Container-Images ermitteln, die BusyBox dpkg-deb auf .deb-Dateien anwenden.
- Das Entpacken nicht vertrauenswürdiger .deb-Pakete mit BusyBox einstellen, bis ein Fix installiert ist.
- Das BusyBox-Update der Distribution einspielen, sobald es veröffentlicht ist.
- Nicht benötigtes BusyBox aus Container-Images entfernen.
- Entpackprozesse auf Archive mit mehreren data.tar-Mitgliedern überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Red Hat CVE record CVE-2026-90954 access.redhat.com
- Red Hat Bugzilla 2533007 bugzilla.redhat.com
- OSV Debian CVE-2026-90954 osv.dev
- Ubuntu security CVE-2026-90954 ubuntu.com
- SUSE CVE via vulners (CVSS comparison) vulners.com
- BusyBox project busybox.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:58.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.