CVE-2026-87690

概要

Metasploit Frameworkのポストモジュール post/apple_ios/gather/ios_image_gather は、相対パストラバーサル脆弱性（CWE-22）の影響を受けます。このモジュールは、Meterpreterのディレクトリ一覧から取得したファイル名（悪意のある、または改ざんされたiOSデバイスによって完全に制御されるデータ）を、サニタイズせずに client.fs.file.download_file() に渡すローカルの宛先パスへ直接展開します。基盤となるstdapiのシンク（lib/rex/post/meterpreter/extensions/stdapi/fs/file.rb）は、指定された任意のパスに書き込むため、../../msfconsole.rc のような一覧エントリは、意図された ~/.msf4/loot/<random> ディレクトリを脱出し、~/.msf4/msfconsole.rc を上書きします。これは、msfconsoleの起動時に毎回自動的に実行されるリソースファイルです（lib/msf/ui/console/driver.rb:196）。攻撃者が制御するデバイスが、オペレーターを誘導してこのgatherモジュールを実行させると、オペレーターの権限で任意のファイル書き込みが達成されます。書き込まれたmsfconsole.rcは、さらに別の書き込み済みファイル（require時にトップレベルのコードが実行されるRubyプラグイン）を読み込むことができるため、これは次回のコンソール起動時に、ペンテスターのワークステーション上でオペレーター（多くの場合root）としての永続的なコード実行および対話型シェルへと発展します。同じトラバーサルは以前、再帰ダウンローダー（stdapi/fs/dir.rb がセパレーターを除去）において上流で修正されていましたが、このモジュールは同等の除去処理を欠いていました。修正では、ローカルパスを構築する前に一覧エントリへ同じセパレーター除去（または File.basename）を適用します。

ソース

• CVE-2026-87690-POC-Metasploit-Dir-Traverse-to-RCEPoC

  CVE-2026-87690 の概念実証となる敵対的 Meterpreter エージェントと解説文。Metasploit の ios_image_gather モジュールにおけるパストラバーサルであり、オペレーターレベルの RCE につながる。