CVE-2026-87690

सारांश

Metasploit Framework का पोस्ट मॉड्यूल post/apple_ios/gather/ios_image_gather एक सापेक्ष पथ ट्रैवर्सल भेद्यता (CWE-22) से प्रभावित है। यह मॉड्यूल Meterpreter डायरेक्टरी लिस्टिंग से लिए गए फ़ाइल नामों को — जो पूरी तरह से किसी शत्रुतापूर्ण या छेड़छाड़ किए गए iOS डिवाइस द्वारा नियंत्रित डेटा है — बिना किसी सैनिटाइज़ेशन के सीधे client.fs.file.download_file() को पास किए गए स्थानीय गंतव्य पथ में इंटरपोलेट करता है। अंतर्निहित stdapi सिंक (lib/rex/post/meterpreter/extensions/stdapi/fs/file.rb) जो भी पथ दिया जाता है उस पर लिखता है, इसलिए ../../msfconsole.rc जैसी लिस्टिंग प्रविष्टि इच्छित ~/.msf4/loot/<random> डायरेक्टरी से बाहर निकल जाती है और ~/.msf4/msfconsole.rc को ओवरराइट कर देती है, जो एक रिसोर्स फ़ाइल है जिसे प्रत्येक msfconsole इनवोकेशन स्टार्टअप पर स्वचालित रूप से निष्पादित करता है (lib/msf/ui/console/driver.rb:196)। एक हमलावर-नियंत्रित डिवाइस जो किसी ऑपरेटर को इस gather मॉड्यूल को चलाने के लिए प्रेरित करता है, ऑपरेटर के रूप में मनमानी फ़ाइल राइट प्राप्त करता है; चूँकि लिखी गई msfconsole.rc एक दूसरी लिखी गई फ़ाइल को लोड कर सकती है (एक Ruby प्लगइन जिसका शीर्ष-स्तरीय कोड require पर चलता है), यह अगली कंसोल लॉन्च पर पेंटेस्टर के वर्कस्टेशन पर ऑपरेटर (अक्सर root) के रूप में स्थायी कोड निष्पादन और एक इंटरैक्टिव शेल में परिवर्तित हो जाता है। यही ट्रैवर्सल पहले अपस्ट्रीम में रिकर्सिव डाउनलोडर में ठीक किया गया था (stdapi/fs/dir.rb सेपरेटरों को साफ़ करता है); इस मॉड्यूल ने समतुल्य स्क्रब को छोड़ दिया। फ़िक्स स्थानीय पथ बनाने से पहले लिस्टिंग प्रविष्टियों पर वही सेपरेटर स्क्रब (या File.basename) लागू करता है।

स्रोत

• CVE-2026-87690-POC-Metasploit-Dir-Traverse-to-RCEPoC

  CVE-2026-87690 के लिए प्रूफ-ऑफ-कॉन्सेप्ट शत्रुतापूर्ण Meterpreter एजेंट और राइटअप, जो Metasploit के ios_image_gather मॉड्यूल में एक पाथ ट्रैवर्सल है जिससे ऑपरेटर-स्तरीय RCE होता है।