„`html

CVE-2026-52751: Unsafe Deserialization in Ghidra

Zusammenfassung

Ghidra-Versionen vor 12.1 enthalten eine kritische Unsafe-Deserialization-Schwachstelle in der Client-seitigen Shared-Project-RMI-Verbindungscode. Diese ermöglicht es unauthentifizierten Angreifern, beliebigen Remote-Code auszuführen. Das Risiko wird als HIGH bewertet (CVSS 8.8).

Betroffene Systeme

• NSA Ghidra < 12.1
• Alle Plattformen mit verwundbarem Ghidra installiert

Technische Details

Schwachstellentyp: Unsafe Deserialization (CWE-502)

Angriffsvektor: Network (unauthentifiziert)

Angriffskomplexität: Low

Die Vulnerability liegt in der RMI-Kommunikation für Shared Projects. Angreifer können eine manipulierte Projektdatei mit einer ghidra://-URL erstellen. Beim Öffnen über das Menü File → Open Project werden untrusted Objekte deserialisiert. Die Exploit-Kette nutzt Jython 2.7.4-Gadgets zur Ausführung arbiträrer Befehle mit den Privilegien des Ghidra-Prozesses.

Der Exploit erfordert lediglich, dass ein Benutzer die präparierte Datei öffnet – keine zusätzliche Authentifizierung ist notwendig.

Empfohlene Massnahmen

1. Sofortiges Update: Upgrade auf Ghidra 12.1 oder höher durchführen
2. Netzwerk-Segmentierung: RMI-Ports einschränken und nur vertrauenswürdigen Systemen Zugriff gewähren
3. Eingabevalidierung: Öffnung von Projektdateien aus unsicheren Quellen vermeiden
4. Monitoring: RMI-Verbindungen und Prozess-Aktivitäten überwachen
5. User-Awareness: Schulung zum sicheren Umgang mit Projektdateien

Bewertung

CVSS v3.1: 8.8 (HIGH)

Kritikalität: Hoch – Unauthentifizierte RCE mit niedriger Komplexität

Patch-Status: Verfügbar (Ghidra 12.1+)

Empfehlung: Unverzügliches Patching erforderlich

„`