CVE-2026-84233: выполнение команд через макросы RPM в rpmuncompress -x
В rpm обнаружена уязвимость высокого уровня опасности (CVSS 7), позволяющая локальному атакующему выполнить произвольные команды через специально подготовленное имя файла `.gem`. Проблема затрагивает RPM в Red Hat Enterprise Linux версий 6–10 и Red Hat Hardened Images. Уязвимость связана с раскрытием макросов RPM при обработке имени файла в команде `rpmuncompress -x`.
Подробности
Проблема кроется в обработке имён файлов при вызове `rpmuncompress -x`. Если имя файла `.gem` содержит синтаксис макросов RPM, то при построении команды происходит раскрытие этих макросов. Это даёт атакующему возможность внедрить в имя файла конструкции, которые при обработке приведут к исполнению произвольных команд с правами учётной записи, запустившей `rpmuncompress`. Атака требует локального доступа: злоумышленнику необходимо разместить специально сформированный файл `.gem` в месте, где его обработает пользователь или автоматизированный процесс. Наиболее вероятный сценарий — конвейеры сборки, CI/CD или скрипты автоматизации, которые массово распаковывают пакеты без предварительной проверки имён файлов. Успешная эксплуатация приводит к компрометации конфиденциальности, целостности и доступности данных: атакующий получает возможность выполнять команды в контексте вызывающего процесса, что может обернуться утечкой сведений, модификацией файлов или нарушением работы сервисов. Под уязвимость подпадают следующие продукты: - Red Hat Enterprise Linux 6, 7, 8, 9 и 10; - Red Hat Hardened Images. Сведения о конкретных версиях rpm, в которых устранена проблема, в записи CVE не приводятся — их следует уточнять в рекомендациях вендора.Что делать
Основная рекомендация — установить обновления rpm, выпущенные Red Hat для затронутых версий RHEL и Hardened Images. Перед обновлением стоит свериться с официальными бюллетенями безопасности вендора, чтобы убедиться в наличии исправления для конкретной платформы. Если немедленное обновление невозможно, применяйте следующие митигации: - не запускайте `rpmuncompress -x` для файлов `.gem` из недоверенных источников; - проверяйте имена входных файлов на наличие символов макросов RPM (в частности, `%`) перед распаковкой; - ограничьте доступ к автоматизированным конвейерам сборки, чтобы снизить риск размещения вредоносного файла; - выполняйте распаковку от имени учётной записи с минимальными привилегиями, чтобы уменьшить масштаб возможного ущерба. Дополнительно рекомендуется усилить мониторинг процессов, запускаемых в сборочных окружениях: неожиданные вызовы из `rpmuncompress` могут служить признаком попытки эксплуатации.Итог
CVE-2026-84233 — локальная уязвимость высокого уровня в rpm, связанная с раскрытием макросов при обработке имён файлов `.gem`. Она особенно опасна для сред автоматизированной сборки и CI/CD, где распаковка пакетов происходит без ручной проверки. Ключевая мера защиты — своевременное обновление rpm и осторожность при работе с именами файлов из недоверенных источников.Источник: CVE Project (cvelistV5)