CVE-2026-87690

Resumen

El módulo post del Metasploit Framework post/apple_ios/gather/ios_image_gather se ve afectado por una vulnerabilidad de salto de ruta relativa (CWE-22). El módulo interpola nombres de archivo obtenidos de un listado de directorio de Meterpreter —datos totalmente controlados por un dispositivo iOS hostil o manipulado— directamente en la ruta de destino local pasada a client.fs.file.download_file(), sin ninguna sanitización. El sink subyacente de stdapi (lib/rex/post/meterpreter/extensions/stdapi/fs/file.rb) escribe en cualquier ruta que se le proporcione, por lo que una entrada del listado como ../../msfconsole.rc escapa del directorio previsto ~/.msf4/loot/<random> y sobrescribe ~/.msf4/msfconsole.rc, un archivo de recursos que cada invocación de msfconsole ejecuta automáticamente al iniciarse (lib/msf/ui/console/driver.rb:196). Un dispositivo controlado por el atacante que atrae a un operador para que ejecute este módulo de recolección logra una escritura arbitraria de archivos con los privilegios del operador; dado que el msfconsole.rc escrito puede cargar un segundo archivo escrito (un plugin de Ruby cuyo código de nivel superior se ejecuta al hacer require), esto se convierte en ejecución persistente de código y una shell interactiva como el operador (con frecuencia root) en la estación de trabajo del pentester en el siguiente inicio de la consola. El mismo salto de ruta ya se había corregido anteriormente en el descargador recursivo (stdapi/fs/dir.rb depura los separadores); este módulo omitió la depuración equivalente. La corrección aplica la misma depuración de separadores (o File.basename) a las entradas del listado antes de construir la ruta local.

Fuentes

• CVE-2026-87690-POC-Metasploit-Dir-Traverse-to-RCEPoC

  Prueba de concepto de un agente Meterpreter hostil y writeup para CVE-2026-87690, un path traversal en el módulo ios_image_gather de Metasploit que conduce a RCE a nivel de operador.