CVE-2021-42377
Publiée le 2021-11-15 · Dernière modification le 2026-06-17
Les systèmes BusyBox utilisant le shell `hush` sont affectés par une faille déclenchée lors du traitement d'une séquence spécifique de caractères (`&&&`) dans une commande. Un attaquant distant non authentifié peut exploiter cette vulnérabilité pour faire planter le système ou potentiellement exécuter du code arbitraire, à condition de pouvoir envoyer des commandes au shell. Comme elle ne nécessite aucun privilège particulier ni interaction de l'utilisateur, l'exploitation est simple si un accès réseau à une interface de commande est disponible.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An attacker-controlled pointer free in Busybox's hush applet leads to denial of service and possible code execution when processing a crafted shell command, due to the shell mishandling the &&& string. This may be used for remote code execution under rare conditions of filtered command input.