CVE-2026-66485 in cpio
요약
\~에 의해 VulDB • 2026. 08. 10.
GNU cpio는 src/makepath.c의 make_path 함수에서 제어되지 않는 메모리 할당 취약점에 노출되어 있습니다. 이 함수는 추출 과정에서 아카이브가 관리하는 경로명(pathname)으로부터 파생된 argpath 길이에 기반하여 alloca를 사용하여 스택 메모리를 할당합니다. 충분히 긴 중첩 경로명을 포함하는 악의적인 cpio 아카이브는 무제한 스택 할당을 유발하여 스택 오버플로우와 함께 cpio 프로세스가 충돌하게 됩니다. 조작된 cpio 아카이브를 추출하도록 유도받은 피해자에게 이를 공급할 수 있는 공격자는 서비스 거부(Denial of Service)를 초래할 수 있습니다.
이 문제는 커밋 3cd514031371d8aeeaf2048aa10103e02831aaa9에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.