CVE-2026-37526 in app-framework-binder
الملخص
بحسب VulDB • 03/06/2026
يتيح إطار عمل التطبيقات AGL (app-framework-binder) (afb-daemon) حتى الإصدار v19.90.0 لأي عملية محلية تنفيذ أوامر إشراف ذات امتيازات عالية (Exit, Do, Sclose, Config, Trace, Debug, Token, slist) دون مصادقة عبر المقبس المحلي المجرد (abstract Unix socket) @urn:AGL:afs:supervision:socket. تقوم الدالة on_supervision_call الموجودة في الملف src/afb-supervision.c بتوجيه جميع الأوامر الثمانية دون التحقق من أي بيانات اعتماد. لا يحتوي المقبس المجرد على حماية DAC، كما هو معترف به في تعليق التحذير الرسمي (CAUTION) في الملف src/afs-supervision.h. يتيح ذلك لعملية محلية منخفضة الامتياز إنهاء عملية الخادم (DoS عبر أمر Exit)، أو تنفيذ استدعاءات API عشوائية (عبر أمر Do)، أو إغلاق جلسات مستخدمين عشوائية (عبر أمر Sclose)، أو تسريب التكوين العالمي بالكامل (عبر أمر Config). تم إدخال هذا الثغرة الأمنية في الالتزام (commit) b8c9d5de384efcfa53ebdb3f0053d7b3723777e1 بتاريخ 2017-06-29.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.