„`html
Zusammenfassung
CVE-2026-11526 ist eine kritische Sicherheitslücke in der Perl-Bibliothek GD in Versionen vor 2.86. Die Schwachstelle ermöglicht OS-Command-Injection und Dateiüberschreibung durch unsichere Behandlung von Dateinamen-Argumenten in der Funktion _make_filehandle. Der CVSS-Wert von 9.8 unterstreicht die kritische Natur dieser Vulnerability.
Betroffene Systeme
Betroffen sind alle GD-Versionen vor 2.86 für Perl. Die Schwachstelle beeinflusst primär:
- GD::Image-Konstruktoren (new, newFromPng, newFromJpeg, etc.)
- Systeme, die Perl-basierte Anwendungen mit GD-Bibliotheken nutzen
- Webserver und Skripte, die Benutzereingaben als Dateipfade verarbeiten
Technische Details
Die Verwundbarkeit liegt in der _make_filehandle-Funktion, die PerlÅ› 2-arg open()-Funktion verwendet. Diese Implementierung interpretiert Spezialzeichen in Dateinamen nicht korrekt:
- Dateinamen mit Pipe-Operatoren („| cmd“ oder „cmd |“) führen zu Command-Execution
- Dateinamen mit Umleitungsoperatoren („> path“ oder „>> path“) ermöglichen Dateiüberschreibung
- Die Funktion betrifft jeden Dateinamen-akzeptierenden Konstruktor der GD::Image-Klasse
In-Memory-Varianten (*Data) sind nicht betroffen, da diese keinen Dateisystem-Zugriff durchführen.
Empfohlene Massnahmen
- Sofortiges Update: GD-Bibliothek auf Version 2.86 oder neuer aktualisieren
- Input-Validierung: Alle Benutzereingaben, die als Dateipfade weitergeleitet werden, strikt validieren
- Whitelist-Approach: Nur explizit erlaubte Dateinamenmuster akzeptieren
- Sandboxing: Perl-Anwendungen in eingeschränkten Umgebungen ausführen (AppArmor, SELinux)
- Monitoring: Logs auf verdächtige Dateioperationen überwachen
Bewertung
Diese Vulnerability stellt ein erhebliches Risiko dar, insbesondere für Webanwendungen, die Bilddateien verarbeiten. Der Angriffsvektor ist netzwerkbasiert, die Auswirkungen kritisch (Remote Code Execution). Eine sofortige Patching-Aktion ist erforderlich.
„`