CVE-2026-87690

Riepilogo

Il modulo post di Metasploit Framework post/apple_ios/gather/ios_image_gather è affetto da una vulnerabilità di path traversal relativo (CWE-22). Il modulo interpola i nomi dei file ricavati da un elenco di directory Meterpreter — dati completamente controllati da un dispositivo iOS ostile o manomesso — direttamente nel percorso di destinazione locale passato a client.fs.file.download_file(), senza alcuna sanificazione. Il sink sottostante di stdapi (lib/rex/post/meterpreter/extensions/stdapi/fs/file.rb) scrive su qualunque percorso gli venga fornito, quindi una voce dell'elenco come ../../msfconsole.rc sfugge alla directory prevista ~/.msf4/loot/<random> e sovrascrive ~/.msf4/msfconsole.rc, un file di risorse che ogni invocazione di msfconsole esegue automaticamente all'avvio (lib/msf/ui/console/driver.rb:196). Un dispositivo controllato dall'attaccante che induce un operatore a eseguire questo modulo di raccolta ottiene una scrittura arbitraria di file con i privilegi dell'operatore; poiché il msfconsole.rc scritto può caricare un secondo file scritto (un plugin Ruby il cui codice di primo livello viene eseguito al require), ciò si traduce in esecuzione persistente di codice e in una shell interattiva con i privilegi dell'operatore (spesso root) sulla workstation del pentester al successivo avvio della console. Lo stesso path traversal era già stato corretto upstream nel downloader ricorsivo (stdapi/fs/dir.rb ripulisce i separatori); questo modulo ometteva la ripulitura equivalente. La correzione applica la stessa ripulitura dei separatori (o File.basename) alle voci dell'elenco prima di costruire il percorso locale.

Fonti

• CVE-2026-87690-POC-Metasploit-Dir-Traverse-to-RCEPoC

  Proof-of-concept di un agente Meterpreter ostile e writeup per CVE-2026-87690, un path traversal nel modulo ios_image_gather di Metasploit che porta a RCE a livello di operatore.