ZDI svela zero-day in BusyBox: directory traversal per creare file a piacere

Trend Micro ha reso pubblico il 17 settembre 2026 l'advisory ZDI-26-705, relativo a una vulnerabilità zero-day nella suite di utilità BusyBox. Il difetto, segnalato originariamente il 3 ottobre 2025, consente a un attaccante remoto di creare file arbitrari su installazioni vulnerabili sfruttando una directory traversal via symlink nel componente libarchive. Il vendor non ha confermato il ricevimento della segnalazione alla data del follow-up del 10 ottobre 2025.

Il meccanismo: come funziona la directory traversal via symlink

BusyBox integra una versione di libarchive per la gestione di archivi compressi. Il difetto identificato da ZDI si colloca in questo specifico componente. La vulnerabilità consente a un attaccante di manipolare i collegamenti simbolici all'interno di un archivio per forzare la scrittura di file in percorsi arbitrari del filesystem target. Questo meccanismo, noto come symlink directory traversal, aggira i controlli di normalizzazione dei path che dovrebbero confinare le operazioni di estrazione all'interno della directory di destinazione.

La capacità di creare file arbitrari rappresenta un vettore fondamentale: dall'overwrite di file di sistema al possibile inserimento di componenti malevoli in percorsi eseguibili. La natura remota della condizione di attacco amplia la superficie esposta, specialmente in scenari dove BusyBox elabora archivi da fonti non attendibili.

BusyBox: un bersaglio ubiquo nell'infrastruttura embedded

BusyBox costituisce una suite di utilità standard per sistemi Linux embedded, container leggeri e dispositivi IoT. La sua diffusione in router, NAS, sistemi di build e ambienti containerizzati lo rende un componente critico nell'ecosistema open source. La presenza di libarchive all'interno della suite estende la superficie di attacco a qualsiasi flusso che preveda l'estrazione automatizzata di archivi.

ZDI classifica la condizione come zero-day, indicando che al momento della pubblicazione dell'advisory non risultava disponibile una correzione ufficiale coordinata con il vendor.

La timeline della disclosure: silenzio del vendor

La cronologia documentata mostra una disclosure che si è protratta senza conferma da parte del maintainer. Il 3 ottobre 2025 ZDI ha trasmesso la segnalazione; il 10 ottobre 2025 ha sollecitato il vendor a confermare il ricevimento.

Questa configurazione temporale è rilevante: l'intervallo tra segnalazione e pubblicazione supera i dieci mesi, un lasso che nel contesto delle disclosure coordinate solleva interrogativi sulla capacità del progetto di assorbire segnalazioni di sicurezza strutturate. Il silenzio del vendor, documentato nel punto di follow-up, costituisce un dato oggettivo della timeline ZDI.

Perché è importante

Non risultano nel materiale disponibile informazioni su exploit in-the-wild o campagne di attacco che sfruttino attivamente questo difetto.

L'assenza di identificatore CVE nel campo strutturato dell'advisory, unita alla mancanza di punteggio CVSS, limita la leggibilità immediata della severità secondo i framework standard.

Ciò che il documento conferma è la presenza di un difetto zero-day in un componente ampiamente distribuito, con meccanismo di attacco riproducibile e impatto documentato sulla integrità del filesystem. La pubblicazione dell'advisory senza coordinamento con patch disponibile espone il parco installato a una finestra di rischio non quantificabile nei termini usuali della gestione vulnerabilità.

Questioni aperte

La fonte non specifica se il maintainer di BusyBox abbia successivamente risposto alla sollecitazione o se sia in corso una gestione privata della vulnerabilità. Il campo credit nella struttura dati ZDI risulta vuoto, impedendo di attribuire la ricerca a un singolo ricercatore o gruppo.

La natura open source del progetto solleva inoltre la questione della responsabilità della correzione: BusyBox è mantenuto da un team ridotto rispetto alla sua massiccia adozione industriale, un pattern ricorrente nel software embedded che rende i tempi di risposta alle segnalazioni di sicurezza variabili e spesso non prevedibili.

Per gli operatori di sicurezza, il limite principale risiede nella mancanza di elementi per la prioritizzazione: senza CVSS, senza CVE e senza conferma di versioni interessate, la valutazione del rischio resta qualitativa e legata al contesto di esposizione specifico di ciascun ambiente.

Fonti

• http://www.zerodayinitiative.com/advisories/ZDI-26-705/