CVE-2026-28207 in Zen-C
Riassunto
di VulDB • 18/06/2026
Zen C è un linguaggio di programmazione di sistema che compila verso GNU C/C11 leggibile dall'uomo. Prima della versione 0.4.2, una vulnerabilità di injection di comandi (CWE-78) nel compilatore Zen C consentiva agli attaccanti locali di eseguire comandi shell arbitrari fornendo un nome file di output appositamente creato tramite l'argomento da riga di comando `-o`. La vulnerabilità era presente nella logica dell'applicazione `main` (specificamente in `src/main.c`), dove il compilatore costruiva una stringa di comando shell per invocare il backend del compilatore C. Questa stringa di comando veniva costruita concatenando vari argomenti, incluso il nome file di output controllato dall'utente, e successivamente eseguita utilizzando la funzione `system()`. Poiché `system()` invoca una shell per analizzare ed eseguire il comando, i metacaratteri della shell presenti nel nome file di output venivano interpretati dalla shell, portando all'esecuzione di comandi arbitrari. Un attaccante in grado di influenzare gli argomenti da riga di comando passati al compilatore `zc` (ad esempio tramite uno script di build o una configurazione CI/CD) può eseguire comandi arbitrari con i privilegi dell'utente che sta eseguendo il compilatore. La vulnerabilità è stata risolta nella versione 0.4.2 rimuovendo le chiamate a `system()`, implementando `ArgList` e la gestione interna degli argomenti. Si consiglia agli utenti di aggiornare alla versione v0.4.2 o successiva di Zen C.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.