„`html
Zusammenfassung
Die Schwachstelle CVE-2026-52750 ist eine Command-Injection-Anfälligkeit in NSA Ghidra vor Version 12.1. Sie betrifft die URL-Annotation-Verarbeitung unter Windows-Systemen. Durch unzureichende Escaped-Zeichen können Angreifer beliebige Befehle mit den Privilegien des Ghidra-Benutzers ausführen. Der Angriff erfolgt durch manipulierte URLs in Programmkommentaren, auf die Nutzer klicken.
Betroffene Systeme
Betroffen ist NSA Ghidra in allen Versionen vor 12.1. Die Anfälligkeit ist spezifisch auf Windows-Systemen vorhanden, wo cmd.exe für die Befehlsausführung genutzt wird. Linux- und macOS-Systeme sind nicht betroffen.
Technische Details
Die Vulnerability liegt in der Behandlung von URL-Annotationen. Ghidra validiert und escaped cmd.exe-Metazeichen wie Pipe (|), Ampersand (&), Kleiner-Zeichen (<), Größer-Zeichen (>) und Semikolon (;) nicht ordnungsgemäß. Ein Angreifer kann diese Zeichen in URLs einbetten, um Shell-Befehle einzuschleusen.
Beispiel: Eine URL wie http://example.com|calc.exe kann die Rechner-Anwendung starten, wenn der Nutzer darauf klickt. Komplexere Payload ermöglichen Reverse-Shells oder Malware-Downloads unter Ghidra-Kontext.
Der Angriffsvektor ist lokal, da die Exploitation manuelles Anklicken einer manipulierten URL erfordert. Allerdings kann dies durch Social Engineering oder durch Einfügen in öffentliche Binär-Analysen erfolgen.
Empfohlene Massnahmen
Sofortmassnahmen:
- Update auf Ghidra 12.1 oder neuer durchführen
- Vorsicht beim Öffnen von Ghidra-Projekten aus unsicheren Quellen
- Keine URLs in Kommentaren anklicken, deren Quelle nicht vertraut wird
Langfristmassnahmen:
- Regelmässige Updates durchführen
- Prinzip der minimalen Privilegien anwenden
- Sicherheits-Awareness-Training für Entwickler
Bewertung
Mit einem CVSS-Score von 7.8 (High) ist dies eine ernst zu nehmende Schwachstelle. Die Kombination aus Codeausführung und benutzerinteraktion macht sie praktisch exploitierbar. Ein Patch ist verfügbar, daher sollte die Aktualisierung priorisiert werden.
„`