CVE-2026-87690

Moduł pocztowy Metasploit Framework post/apple_ios/gather/ios_image_gather jest dotknięty luką w zabezpieczeniach umożliwiającą względne przejście ścieżki (CWE-22). Moduł interpoluje nazwy plików pobrane z listy katalogów Meterpretera – dane w pełni kontrolowane przez wrogie lub zmodyfikowane urządzenie iOS – bezpośrednio do lokalnej ścieżki docelowej przekazywanej do client.fs.file.download_file(), bez oczyszczania. Podstawowy ujście stdapi (lib/rex/post/meterpreter/extensions/stdapi/fs/file.rb) zapisuje do dowolnej podanej ścieżki, więc wpis na liście, taki jak ../../msfconsole.rc, ucieka z zamierzonego katalogu ~/.msf4/loot/<random> i zastępuje ~/.msf4/msfconsole.rc, plik zasobów, który jest automatycznie wykonywany przy każdym wywołaniu msfconsole przy uruchomieniu (lib/msf/ui/console/driver.rb:196). Urządzenie kontrolowane przez osobę atakującą, które namawia operatora do uruchomienia tego modułu zbierającego, dokonuje dowolnego zapisu pliku jako operator; ponieważ napisany plik msfconsole.rc może załadować drugi zapisany plik (wtyczka Ruby, której kod najwyższego poziomu działa na require), konwertuje to na trwałe wykonanie kodu i interaktywną powłokę jako operator (często root) na stacji roboczej pentestera przy następnym uruchomieniu konsoli. To samo przechodzenie zostało wcześniej naprawione w programie pobierania rekurencyjnego (stdapi/fs/dir.rb usuwa separatory); moduł ten pominął równoważne szorowanie. Poprawka stosuje ten sam separator separatora (lub nazwę pliku.basename) do wyświetlania wpisów przed zbudowaniem ścieżki lokalnej.