DeutschIn der Originalsprache angezeigt — eine vollständige Übersetzung ist für eine zukünftige Version geplant.
BusyBox: Mehrere Schwachstellen
Advisory ansehen veröffentlicht 2026-09-23
Ein Angreifer kann mehrere Schwachstellen in BusyBox ausnutzen, um möglicherweise beliebigen Code auszuführen, Speicher zu beschädigen, sensible Informationen offenzulegen, Sicherheitsmaßnahmen zu umgehen oder Denial-of-Service-Zustände zu verursachen.
01
beschreibt (7)
Zugehörige CVEs.
| ID | Schweregrad | ausnutzbar | ||
|---|---|---|---|---|
| CVE-2026-88840US | medium5.3 | — | ||
BusyBox TLS get_client_hello() reads past the end of the input buffer when parsing a truncated ClientHello message. | ||||
| CVE-2026-88839US | medium6.7 | — | ||
BusyBox passwd/group tokenize() references a stale endpoint pointer after trimming, causing an out-of-bounds write of heap pointers. | ||||
| CVE-2026-88837US | — | — | ||
BusyBox httpd treats yescrypt ($y$) password hashes as plaintext during Basic Authentication, inverting the authentication check. | ||||
| CVE-2026-88835US | medium6.1 | — | ||
BusyBox dpkg read_package_field() steps past a NUL terminator on malformed .deb packages, causing an out-of-bounds heap read. | ||||
| CVE-2026-88831US | — | — | ||
BusyBox httpd IP deny rules with invalid CIDR prefix lengths fail open, leaving a parsed IP with a zeroed mask so the rule matches no clients. | ||||
| CVE-2026-88832US | high7.3 | — | ||
BusyBox romfs volume ID parsing uses unbounded strlen on attacker-controlled metadata, causing a heap buffer overflow when processing crafted filesystem images. | ||||
| CVE-2026-88830US | high7.5 | — | ||
A unit confusion in BusyBox TLS Montgomery reduction buffer allocation causes a pre-authentication heap buffer overflow when processing a crafted ClientKeyExchange message. | ||||
02
Referenzen
Externe Belege — Patches, Meldungen, Analysen.
- GitHub Advisory Database vom 2026-09-23external
- GitHub Advisory Database vom 2026-09-23external
- GitHub Advisory Database vom 2026-09-23external
- GitHub Advisory Database vom 2026-09-23external
- GitHub Advisory Database vom 2026-09-23external
- GitHub Advisory Database vom 2026-09-23external
- GitHub Advisory Database vom 2026-09-23external
- openSUSE Security Update OPENSUSE-SU-2026:11954-1 vom 2026-10-07external
scry
Advisories wie diese benennen die exponierten Produkte, die Angreifer auf Ihrer Angriffsfläche ins Visier nehmen. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.
Kostenloser Scan