펄프코어에서 경로 탐색 취약점이 발견되었습니다. relative_path_validator 함수는 콘텐츠 경로가 "/"로 시작하지 않는지 확인하고 경로의 어느 위치에서든 "../"와 같은 디렉터리 순회 시퀀스를 차단하지 못하는지 확인합니다. 인증된 관리자는 FilesystemExport 작업 중에 의도된 내보내기 디렉터리를 이스케이프하는 포함된 순회 시퀀스(예: " looking/normal/../../../../etc/shadow")가 포함된 상대 경로를 만들 수 있습니다. 파일 내용도 사용자 제어이기 때문에
펄프코어에서 경로 탐색 취약점이 발견되었습니다. relative_path_validator 함수는 콘텐츠 경로가 "/"로 시작하지 않는지 확인하고 경로의 어느 위치에서든 "../"와 같은 디렉터리 순회 시퀀스를 차단하지 못하는지 확인합니다. 인증된 관리자는 FilesystemExport 작업 중에 의도된 내보내기 디렉터리를 이스케이프하는 포함된 순회 시퀀스(예: " looking/normal/../../../../etc/shadow")가 포함된 상대 경로를 만들 수 있습니다. 파일 콘텐츠도 사용자가 제어하므로(업로드된 아티팩트) Pulp 서비스 사용자가 쓸 수 있는 모든 위치에 임의 파일 쓰기가 허용되어 잠재적으로 서비스가 손상되거나 추가 시스템 악용이 발생할 수 있습니다.
왜 이 VPI인가 (설명가능 · 실험적)
VPI 산정 기준
| 영향도 | 90.00 |
| 악용 신호(추가 악용신호 없음) | ×1.00 |
| VPI | 90.00 |
VPI 공식 vpi-v1 기준