Applet dpkg do BusyBox: injeção de comandos do sistema operacional

Tradução automática do conteúdo disponibilizado no feed de oss-sec. Original: https://seclists.org/oss-sec/2026/q3/556

Publicado por Solar Designer em 23 de agosto Olá, Anmol Bakshi trouxe o texto abaixo à lista linux-distros em 13 de julho, com o assunto original “BusyBox dpkg applet: OS command injection -> root RCE (CWE-78)”. Determinamos rapidamente que nenhum limite de privilégio é ultrapassado, portanto o pedido de divulgação coordenada foi retirado. No entanto, não podemos simplesmente retirar algo enviado à linux-distros, desde que não fosse completamente fora do assunto, sem também publicá-lo na oss-security....