„`html
Zusammenfassung
In Ghidra vor Version 12.0.2 existiert eine Path-Traversal-Schwachstelle im Extension-Installer. Die Schwachstelle ermöglicht es Angreifern, über manipulierte ZIP-Archive beliebige Dateien außerhalb des vorgesehenen Installationsverzeichnisses zu schreiben und potenziell Code auszuführen. Der CVSS-Score von 7.8 klassifiziert dies als High-Severity-Vulnerability.
Betroffene Systeme
- NSA Ghidra vor Version 12.0.2
- Alle Installationen mit aktivem Extension-Installer-Feature
Technische Details
Die Verwundbarkeit liegt in der unzureichenden Validierung von ZIP-Eintragsnamen während der Extension-Extraktion. Der Installer überprüft nicht, ob Dateinamen Traversal-Sequenzen wie ../ oder absolute Pfade enthalten. Ein Angreifer kann daher eine schädliche Extension mit Traversal-Zeichen im Archiv präparieren.
Angriffsablauf:
- Angreifer erstellt eine manipulierte ZIP-Datei mit Einträgen wie
../../../malicious.so - Opfer installiert die Extension ĂĽber Ghidras GUI oder CLI
- Der Installer extrahiert die Datei auĂźerhalb des Extensions-Verzeichnisses
- Malicious Code wird in kritische Verzeichnisse geschrieben (z.B. Library-Pfade)
- Code-AusfĂĽhrung mit Ghidra-Berechtigungen erfolgt
Der Angriffsvektor ist lokal, erfordert aber minimale Benutzerinteraktion – das Laden einer präparierten Extension.
Empfohlene Massnahmen
- Sofort: Ghidra auf Version 12.0.2 oder höher aktualisieren
- ZIP-Archive vor Installation auf Plausibilität überprüfen
- Extensions nur aus vertrauenswĂĽrdigen Quellen installieren
- Dateisystem-Berechtigungen restrictiv konfigurieren
- Monitoring fĂĽr unerwartete Dateizugriffe auĂźerhalb des Extension-Verzeichnisses implementieren
Bewertung
Diese Vulnerability stellt ein erhebliches Risiko dar, da sie lokale Code-Ausführung ermöglicht. Die Kombination aus fehlender Eingabevalidierung und unkontrolliertem Dateizugriff macht eine schnelle Patch-Installation essentiell. Das Patch ist verfügbar und sollte unverzüglich eingespielt werden.
„`