CVE-2026-87690

总结

Metasploit Framework 的 post 模块 post/apple_ios/gather/ios_image_gather 受相对路径遍历漏洞影响（CWE-22）。该模块将从 Meterpreter 目录列表中获取的文件名——这些数据完全由恶意或被篡改的 iOS 设备控制——直接插入到传递给 client.fs.file.download_file() 的本地目标路径中，且未做任何清理。底层的 stdapi 写入点（lib/rex/post/meterpreter/extensions/stdapi/fs/file.rb）会写入所传入的任意路径，因此像 ../../msfconsole.rc 这样的列表条目会逃逸出预期的 ~/.msf4/loot/<random> 目录，并覆盖 ~/.msf4/msfconsole.rc——这是一个每次调用 msfconsole 时都会在启动阶段自动执行的资源文件（lib/msf/ui/console/driver.rb:196）。攻击者控制的设备诱使操作员运行此 gather 模块后，即可实现以操作员身份进行的任意文件写入；由于写入的 msfconsole.rc 可以加载另一个被写入的文件（一个 Ruby 插件，其顶层代码会在 require 时执行），这便转化为持久化代码执行，并在下次启动控制台时，在渗透测试人员的工作站上以操作员身份（通常是 root）获得交互式 shell。同样的路径遍历此前已在上游的递归下载器中修复（stdapi/fs/dir.rb 会清理分隔符）；而此模块遗漏了等效的清理。修复方案是在构建本地路径之前，对列表条目应用相同的分隔符清理（或 File.basename）。

来源

• CVE-2026-87690-POC-Metasploit-Dir-Traverse-to-RCEPoC

  针对 CVE-2026-87690 的概念验证恶意 Meterpreter 代理及分析报告，该漏洞是 Metasploit 的 ios_image_gather 模块中的路径遍历，可导致操作员级 RCE。