CVE-2026-87690

Zusammenfassung

Das Post-Modul post/apple_ios/gather/ios_image_gather des Metasploit Framework ist von einer relativen Pfad-Traversal-Schwachstelle (CWE-22) betroffen. Das Modul interpoliert Dateinamen aus einem Meterpreter-Verzeichnislisting – Daten, die vollständig von einem feindlichen oder manipulierten iOS-Gerät kontrolliert werden – direkt in den lokalen Zielpfad, der an client.fs.file.download_file() übergeben wird, ohne jegliche Bereinigung. Die zugrunde liegende stdapi-Senke (lib/rex/post/meterpreter/extensions/stdapi/fs/file.rb) schreibt in jeden übergebenen Pfad, sodass ein Listing-Eintrag wie ../../msfconsole.rc aus dem vorgesehenen Verzeichnis ~/.msf4/loot/<random> ausbricht und ~/.msf4/msfconsole.rc überschreibt – eine Ressourcendatei, die bei jedem Start von msfconsole automatisch ausgeführt wird (lib/msf/ui/console/driver.rb:196). Ein vom Angreifer kontrolliertes Gerät, das einen Operator dazu verleitet, dieses Gather-Modul auszuführen, erreicht damit einen beliebigen Dateischreibzugriff mit den Rechten des Operators; da die geschriebene msfconsole.rc eine zweite geschriebene Datei laden kann (ein Ruby-Plugin, dessen Top-Level-Code bei require ausgeführt wird), wandelt sich dies bei der nächsten Konsolenstart in persistente Codeausführung und eine interaktive Shell als der Operator (häufig root) auf der Workstation des Pentesters um. Derselbe Traversal wurde zuvor upstream im rekursiven Downloader behoben (stdapi/fs/dir.rb bereinigt Trennzeichen); dieses Modul ließ die entsprechende Bereinigung aus. Der Fix wendet dieselbe Trennzeichenbereinigung (oder File.basename) auf Listing-Einträge an, bevor der lokale Pfad gebildet wird.

Quellen

• CVE-2026-87690-POC-Metasploit-Dir-Traverse-to-RCEPoC

  Proof-of-Concept für einen feindlichen Meterpreter-Agenten und Writeup zu CVE-2026-87690, einem Path Traversal im Modul ios_image_gather von Metasploit, das zu RCE auf Operator-Ebene führt.