radare2: Injeção de Comando via Nomes de Parâmetros DWARF
Plataforma
c
Componente
radare2
Corrigido em
5.7.1
A vulnerabilidade CVE-2026-40527 é uma falha de Command Injection identificada no radare2, especificamente no caminho de comandos afsv/afsvj. Essa falha permite que atacantes injetem comandos shell arbitrários ao criar binários ELF maliciosos que incorporam sequências de comandos r2 dentro dos nomes de parâmetros DWTAGformal_parameter do DWARF. Ao analisar esses binários com o comando aaa e, posteriormente, executar afsvj, a interpolação não sanitizada da string pfq pode levar à execução desses comandos, comprometendo a segurança do sistema. A vulnerabilidade afeta versões do radare2 anteriores ao commit bc5a89033db3ecb5b1f7bf681fc6ba4dcfc14683, sendo que uma correção já foi disponibilizada.
Impacto e Cenários de Ataque
A vulnerabilidade CVE-2026-40527 no radare2, presente em versões anteriores ao commit bc5a890, representa um risco significativo de injeção de comandos. Esta falha reside no caminho de comandos afsv/afsvj e permite que atacantes incorporem sequências de comandos maliciosos de r2 dentro de nomes de parâmetros formais DWARF em binários ELF manipulados. A análise de um binário com 'aaa' e a execução subsequente de 'afsvj' podem levar à execução arbitrária de comandos do sistema operacional devido à interpolação não segura de parâmetros na string de comando 'pfq'. A pontuação CVSS de 7.8 indica um risco alto, exigindo atenção imediata para evitar a execução não autorizada de código em sistemas afetados.
Contexto de Exploração
Um atacante pode criar um arquivo ELF malicioso contendo nomes de parâmetros DWARF que incluem comandos do sistema operacional. Quando um usuário executa o radare2 com 'aaa' neste arquivo e, em seguida, 'afsvj', os comandos incorporados serão executados. A complexidade da exploração é relativamente baixa, exigindo apenas a criação de um arquivo ELF malicioso e a execução dos comandos radare2 apropriados. O impacto é alto, permitindo a execução remota de código e o comprometimento do sistema. Esta vulnerabilidade é particularmente preocupante em ambientes onde o radare2 é usado para análise de malware ou engenharia reversa.
Inteligência de Ameaças
Status do Exploit
EPSS
0.03% (percentil 10%)
CISA SSVC
Vetor CVSS
O que significam essas métricas?
- Attack Vector
- Local — o atacante precisa de sessão local ou shell no sistema.
- Attack Complexity
- Baixa — sem condições especiais. O atacante pode explorar de forma confiável.
- Privileges Required
- Nenhum — sem autenticação necessária para explorar.
- User Interaction
- Necessária — a vítima deve abrir um arquivo, clicar em um link ou visitar uma página.
- Scope
- Inalterado — impacto limitado ao componente vulnerável.
- Confidentiality
- Alto — perda total de confidencialidade. O atacante pode ler todos os dados.
- Integrity
- Alto — o atacante pode escrever, modificar ou excluir qualquer dado.
- Availability
- Alto — falha completa ou esgotamento de recursos. Negação de serviço total.
Software Afetado
Classificação de Fraqueza (CWE)
Linha do tempo
- Reservado
- Publicada
- Modificada
- EPSS atualizado
Mitigação e Soluções Alternativas
A solução recomendada é atualizar o radare2 para uma versão que inclua o commit bc5a890 ou posterior. Este commit corrige a vulnerabilidade, sanitizando adequadamente os nomes de parâmetros formais DWARF antes de usá-los na string de comando 'pfq'. Como medida preventiva, evite analisar arquivos ELF de fontes não confiáveis com o radare2. Implementar controles de acesso rigorosos para limitar quem pode executar o radare2 e analisar binários também pode ajudar a mitigar o risco. Monitorar os sistemas em busca de atividade incomum relacionada à execução de comandos do sistema operacional durante a análise de binários é crucial.
Como corrigirtraduzindo…
Actualice a la versión 5.7.1 o posterior para mitigar la vulnerabilidad de inyección de comandos. Esta actualización corrige la forma en que radare2 maneja los nombres de parámetros DWARF, evitando la ejecución de comandos arbitrarios.
Boletim de Segurança CVE
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
Perguntas frequentes
O que é CVE-2026-40527 — Command Injection em radare2?
DWARF é um formato de depuração usado em arquivos ELF para fornecer informações de depuração, incluindo nomes de variáveis, tipos de dados e locais de memória.
Estou afetado pelo CVE-2026-40527 no radare2?
A atualização corrige a vulnerabilidade de injeção de comandos, impedindo a execução não autorizada de código.
Como corrijo o CVE-2026-40527 no radare2?
Evite analisar arquivos ELF de fontes não confiáveis e monitore os sistemas em busca de atividade incomum.
O CVE-2026-40527 está sendo explorado ativamente?
Verifique a versão do radare2 que você está usando. Se for anterior ao commit bc5a890, você está vulnerável.
Onde encontro o aviso oficial do radare2 para o CVE-2026-40527?
Existem várias ferramentas de análise de malware que podem ajudar a detectar arquivos ELF maliciosos que exploram esta vulnerabilidade.
Seu projeto está afetado?
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.