CERT Polska: gotop 3.0.0 podatny na wstrzyknięcie argumentów
CVE-2026-91784, wpis z 2 października. Nazwa procesu idzie do pkill bez sprawdzenia. Poprawki nie wydano.
2 października 2026 r. CERT Polska opisał podatność CVE-2026-91784 w programie gotop autora cjbassi. Potwierdzona wersja to 3.0.0. Typ: CWE-88, niewłaściwe neutralizowanie separatorów argumentów w poleceniu. Wpis: cert.pl.
Nazwa procesu jest przekazywana wprost do pkill, bez sanityzacji. Lokalny atakujący może utworzyć proces o nazwie zaczynającej się od dwóch myślników, na przykład z identyfikatorem docelowego użytkownika. Gdy osoba uruchamiająca gotop zakończy ten proces z poziomu programu, pkill odczyta spreparowaną nazwę jako argument i zakończy wszystkie procesy wskazanego użytkownika.
CERT pisze, że produkt nie jest aktywnie wspierany i że podatność nie została usunięta. Testowano tylko wersję 3.0.0. Innych wersji nie sprawdzano.
Zgłoszenie koordynował CERT Polska, zespół NASK. Podziękowanie w nocie: Michał Majchrowicz i Marcin Wyczechowski z zespołu AFINE. Adres: ul. Kolska 12, 01-045 Warszawa.