CVE-2026-90954

اسم البرنامج المتأثر والإصدارات المتأثرة BusyBox (إصدارات متأثرة غير محددة)

الوصف يوجد خلل في عملية استخراج أرشيف dpkg-deb. يقوم معالج أرشيف ar بتفريغ الروابط الرمزية المؤجلة بعد كل عضو في الأرشيف، على عكس معالجات tar و cpio و unzip التي تقوم بالتفريغ مرة واحدة فقط بعد العضو الأخير. يمكن للمهاجم استغلال ذلك من خلال إنشاء أرشيف .deb مصمم خصيصًا يحتوي على عضوين data.tar. يقوم العضو الأول بتعريف رابط رمزي يشير إلى مسار مطلق (مثل /)، والذي يتم تأجيله في البداية ثم تفريغه. يقوم العضو الثاني بتعريف ملف عادي يعبر هذا الرابط الرمزي النشط، مما يسمح للمهاجم بكتابة ملفات عشوائية في مواقع خارج دليل الاستخراج المقصود.

التوصيات في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.