CVE-2026-88839: уязвимость в BusyBox приводит к записи указателей кучи за границами буфера
В BusyBox обнаружена уязвимость CVE-2026-88839, связанная с парсером passwd/group. Из-за устаревшего указателя endpoint в tokenize() происходит запись указателей кучи за пределами выделенной области памяти. Проблема затрагивает Red Hat Hardened Images, уровень опасности — средний (CVSS 6.7).
Подробности
Уязвимость затрагивает функцию tokenize(), выполняющую разбор строк в файлах passwd и group. После операции обрезки (trimming) функция продолжает ссылаться на устаревший указатель endpoint, который больше не соответствует актуальным границам токена. В результате этого программа выполняет запись указателей кучи (heap pointers) за пределами выделенного буфера, что классифицируется как out-of-bounds write. Согласно записи CVE, под удар попадают Red Hat Hardened Images. Уязвимость имеет оценку CVSS 6.7, что соответствует среднему уровню критичности. Такой вектор позволяет нарушить целостность памяти процесса, что потенциально ведёт к повреждению данных, неопределённому поведению приложения или отказу в обслуживании. Возможность удалённой эксплуатации или повышения привилегий в описании CVE напрямую не указана, однако запись указателей за границами буфера сама по себе создаёт риск дальнейшей эскалации при наличии подходящих условий. Стоит отметить, что BusyBox часто применяется в средах с ограниченными ресурсами и в контейнерных образах, где цена любой ошибки работы с памятью особенно высока.Что делать
Основная рекомендация — обновить BusyBox до версии, в которой устранена проблема. Следите за официальными бюллетенями Red Hat и дистрибьюторов, выпускающих Hardened Images, чтобы получить актуальный пакет с исправлением. Если немедленное обновление невозможно, рассмотрите следующие меры: — ограничьте доступ к файлам passwd и group, чтобы снизить вероятность обработки специально сформированных строк; — минимизируйте использование затронутых образов в критичных сегментах инфраструктуры до выхода патча; — применяйте изоляцию контейнеров и принцип наименьших привилегий, чтобы ограничить последствия возможной эксплуатации; — отслеживайте аномалии в работе процессов, задействующих BusyBox, средствами мониторинга. Также рекомендуется проверить, какие версии BusyBox используются в ваших сборках и базовых образах, и зафиксировать их в системе управления уязвимостями. Итог: CVE-2026-88839 — уязвимость среднего уровня в BusyBox, вызванная устаревшим указателем при токенизации файлов passwd и group и приводящая к записи за границами буфера. Основное remedy — своевременное обновление, а до его выхода — ограничительные и изолирующие меры.Источник: CVE Project (cvelistV5)