radareのradare2におけるOS コマンドインジェクションの脆弱性
タイトル radareのradare2におけるOS コマンドインジェクションの脆弱性
概要

radare2はコミットbc5a890以前のバージョンにおいて、afsv/afsvjコマンド経路にコマンドインジェクションの脆弱性があります。細工されたELFバイナリが悪意のあるr2コマンドシーケンスをDWARFのDW_TAG_formal_parameter名として埋め込むことが可能です。攻撃者はDWARFパラメータ名にシェルコマンドを含むバイナリを作成でき、radare2がaaaでバイナリを解析し、その後afsvjを実行するとそのコマンドが実行されます。これにより、pfqコマンド文字列のパラメータに未消毒の補間が起こり、任意のシェルコマンドが実行される恐れがあります。

想定される影響 ・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 
対策

ベンダ情報を参照して適切な対策を実施してください。

公表日 2026年4月17日0:00
登録日 2026年6月8日12:31
最終更新日 2026年6月8日12:31
CVSS3.0 : 重要
スコア 7.8
ベクター CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
影響を受けるシステム
radare
radare2 6.1.6 未満
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
変更履歴
No 変更内容 変更日
1 [2026年06月08日]
  掲載
2026年6月8日12:31

NVD脆弱性情報
CVE-2026-40527
概要

radare2 prior to commit bc5a890 contains a command injection vulnerability in the afsv/afsvj command path where crafted ELF binaries can embed malicious r2 command sequences as DWARF DW_TAG_formal_parameter names. Attackers can craft a binary with shell commands in DWARF parameter names that execute when radare2 analyzes the binary with aaa and subsequently runs afsvj, allowing arbitrary shell command execution through the unsanitized parameter interpolation in the pfq command string.

公表日 2026年4月18日6:16
登録日 2026年4月19日4:08
最終更新日 2026年4月21日4:05
関連情報、対策とツール
共通脆弱性一覧