Command injection in Radare2

Radare2 no valida correctamente los nombres de archivos PDB al descargar información de depuración, permitiendo que atacantes ejecuten comandos de shell arbitrarios mediante una ruta de servidor PDB malformada. La falla se activa al abrir un ejecutable especialmente preparado y ejecutar la función de descarga de depuración.

Vulnerabilidad de inyección de comandos (CWE-78) en el manejo de la ruta del servidor PDB de radare2 ocurre cuando nombres de archivo no sanitizados del servidor PDB se pasan a ejecución de shell. La explotación requiere que la víctima abra un ejecutable malicioso y ejecute el comando idpd, resultando en ejecución de código arbitrario en el contexto del proceso radare2.