CVE-2026-87690

Resumo

O módulo post post/apple_ios/gather/ios_image_gather do Metasploit Framework é afetado por uma vulnerabilidade de path traversal relativo (CWE-22). O módulo interpola nomes de arquivos obtidos de uma listagem de diretório do Meterpreter — dados totalmente controlados por um dispositivo iOS hostil ou adulterado — diretamente no caminho de destino local passado para client.fs.file.download_file(), sem qualquer sanitização. O sink subjacente do stdapi (lib/rex/post/meterpreter/extensions/stdapi/fs/file.rb) grava em qualquer caminho fornecido, de modo que uma entrada de listagem como ../../msfconsole.rc escapa do diretório pretendido ~/.msf4/loot/<random> e sobrescreve ~/.msf4/msfconsole.rc, um arquivo de recursos que toda invocação do msfconsole executa automaticamente na inicialização (lib/msf/ui/console/driver.rb:196). Um dispositivo controlado pelo atacante que induza um operador a executar este módulo de coleta consegue uma gravação arbitrária de arquivo com os privilégios do operador; como o msfconsole.rc gravado pode carregar um segundo arquivo gravado (um plugin Ruby cujo código de nível superior é executado no require), isso se converte em execução persistente de código e em um shell interativo com os privilégios do operador (frequentemente root) na estação de trabalho do pentester na próxima inicialização do console. O mesmo traversal foi corrigido anteriormente upstream no downloader recursivo (stdapi/fs/dir.rb remove separadores); este módulo omitiu a remoção equivalente. A correção aplica a mesma remoção de separadores (ou File.basename) às entradas da listagem antes de construir o caminho local.

Fontes

• CVE-2026-87690-POC-Metasploit-Dir-Traverse-to-RCEPoC

  Prova de conceito de um agente Meterpreter hostil e writeup para CVE-2026-87690, uma path traversal no módulo ios_image_gather do Metasploit que leva a RCE no nível do operador.