CVE-2026-37531: Zip Slip i TOCTOU w Automotive Grade Linux app-framework-main

Podsumowanie

Parametr	Wartość
CVE ID	CVE-2026-37531
Źródło alertu	GitHub Advisory - Krytyczna podatność
Rok publikacji CVE	2026
Data publikacji	2026-05-01
Producent	Automotive Grade Linux
Produkt	app-framework-main
CVSS Score	9.8 (Krytyczny)
EPSS Score	Brak danych
CISA KEV	Nie
Ransomware	Nie potwierdzono

Opis podatności

Źródło: NVD

Komponent AGL app-framework-main do wersji 17.1.12 zawiera podatność typu Zip Slip path traversal (CWE-22) w połączeniu z race condition typu TOCTOU (CWE-367) w przepływie instalacji widgetów. Funkcja is_valid_filename w pliku wgtpkg-zip.c waliduje nazwy wpisów ZIP, ale nie sprawdza sekwencji traversal opartych na notacji z kropkami - blokuje wyłącznie ścieżki bezwzględne. Funkcja ekstrakcji zread używa wywołania openat(workdirfd, filename, O_CREAT), które rozwiązuje wartości z notacją kropek względem katalogu roboczego, co pozwala plikom na wyjście poza zamierzony katalog instalacji.

Wymagane działania

Niezwłocznie zaktualizuj komponent AGL app-framework-main do wersji nowszej niż 17.1.12. Do czasu aktualizacji nie instaluj widgetów (paczek .wgt) z niezaufanych źródeł i ogranicz uprawnienia procesu instalacyjnego. W środowiskach produkcyjnych zweryfikuj integralność systemu plików w katalogach docelowych instalacji widgetów.

Kogo dotyczy?

Podatność dotyczy produktu app-framework-main w Automotive Grade Linux. Sprawdź czy Twoja organizacja korzysta z AGL (typowo systemy infotainment w pojazdach) i wdroż aktualizację frameworku.

Źródła

• NVD - CVE-2026-37531

• FIRST EPSS

---

Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.