CVE-2026-35465
Publiée le 2026-04-18 · Dernière modification le 2026-10-26
Les versions 0.17.4 et antérieures du client SecureDrop sont vulnérables à une faille permettant à un serveur SecureDrop compromis d'écraser des fichiers critiques sur la machine virtuelle du client en envoyant une archive malveillante. Un attaquant ayant déjà pris le contrôle du serveur pourrait utiliser cette faille pour exécuter du code arbitraire sur le poste de travail du journaliste. Cette attaque est difficile à réaliser, car elle nécessite que l'attaquant compromette d'abord le serveur sécurisé et dépend de l'interaction de l'utilisateur avec un envoi malveillant.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
SecureDrop Client is a desktop app for journalists to securely communicate with sources and handle submissions on the SecureDrop Workstation. In versions 0.17.4 and below, a compromised SecureDrop Server can achieve code execution on the Client's virtual machine (sd-app) by exploiting improper filename validation in gzip archive extraction, which permits absolute paths and enables overwriting critical files like the SQLite database. Exploitation requires prior compromise of the dedicated SecureDrop Server, which itself is hardened and only accessible via Tor hidden services. Despite the high attack complexity, the vulnerability is rated High severity due to its significant impact on confidentiality, integrity, and availability of decrypted source submissions. This issue is similar to CVE-2025-24888 but occurs through a different code path, and a more robust fix has been implemented in the replacement SecureDrop Inbox codebase. The issue has been fixed in version 0.17.5.