CVE-2026-87690

요약

Metasploit Framework의 post 모듈 post/apple_ios/gather/ios_image_gather가 상대 경로 순회 취약점(CWE-22)의 영향을 받습니다. 이 모듈은 Meterpreter 디렉터리 목록에서 가져온 파일 이름 — 악의적이거나 변조된 iOS 기기가 완전히 제어하는 데이터 — 을 정제 없이 client.fs.file.download_file()에 전달되는 로컬 대상 경로에 직접 삽입합니다. 기반이 되는 stdapi 싱크(lib/rex/post/meterpreter/extensions/stdapi/fs/file.rb)는 제공된 경로에 그대로 기록하므로, ../../msfconsole.rc와 같은 목록 항목이 의도된 ~/.msf4/loot/<random> 디렉터리를 벗어나 ~/.msf4/msfconsole.rc를 덮어쓰게 되며, 이 리소스 파일은 모든 msfconsole 실행 시 시작 단계에서 자동으로 실행됩니다(lib/msf/ui/console/driver.rb:196). 공격자가 제어하는 기기가 운영자를 유인하여 이 gather 모듈을 실행하게 하면 운영자 권한으로 임의 파일 쓰기를 달성하게 됩니다. 기록된 msfconsole.rc가 두 번째로 기록된 파일(require 시 최상위 코드가 실행되는 Ruby 플러그인)을 로드할 수 있기 때문에, 이는 다음 콘솔 실행 시 펜테스터의 워크스테이션에서 운영자(흔히 root) 권한으로 지속적 코드 실행 및 대화형 셸로 이어집니다. 동일한 순회 문제는 이전에 재귀 다운로더에서 업스트림으로 수정되었습니다(stdapi/fs/dir.rb가 구분자를 정제함). 그러나 이 모듈은 동등한 정제를 누락했습니다. 수정 사항은 로컬 경로를 구성하기 전에 목록 항목에 동일한 구분자 정제(또는 File.basename)를 적용합니다.

소스

• CVE-2026-87690-POC-Metasploit-Dir-Traverse-to-RCEPoC

  CVE-2026-87690에 대한 개념 증명용 적대적 Meterpreter 에이전트 및 분석 문서로, Metasploit의 ios_image_gather 모듈에서 발생하는 경로 순회 취약점이 운영자 수준의 RCE로 이어지는 문제를 다룹니다.