CVE-2026-90954

Nome do Software Vulnerável e Versões Afetadas BusyBox (versões afetadas não especificadas)

Descrição Uma falha existe no processo de extração de arquivos dpkg-deb. O manipulador de arquivos ar descarrega symlinks adiados após cada membro do arquivo, enquanto outros manipuladores como tar, cpio e unzip descarregam apenas uma vez após o último membro. Um invasor pode explorar isso criando um arquivo .deb especialmente manipulado contendo dois membros data.tar. O primeiro membro define um symlink para um caminho absoluto (como /), que é inicialmente adiado e depois descarregado. O segundo membro define um arquivo regular que atravessa esse symlink ativo, permitindo que o invasor grave arquivos arbitrários em locais fora do diretório de extração pretendido.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.