„`html
Zusammenfassung
Die Sicherheitslücke CVE-2026-53777 ist eine Path-Traversal-Vulnerabilität in Perry vor Version 0.5.1159. Sie ermöglicht Angreifern, die Kontrolle über einen Build-Server haben, das Schreiben von beliebigem Inhalt an beliebige, vom laufenden Prozess beschreibbare Pfade. Die Schwachstelle wird über unsanitierte Pfadkomponenten in ArtifactReady WebSocket-Nachrichten ausgenutzt und erreicht einen CVSS-Score von 8.1 (High).
Betroffene Systeme
Perry-Versionen vor 0.5.1159 sind betroffen. Das Tool wird in verschiedenen Umgebungen für Build- und Artifact-Management eingesetzt. Systeme, die auf kompromittierten oder nicht vertrauenswürdigen Build-Servern aufbauen, sind besonders gefährdet.
Technische Details
Die Vulnerabilität liegt in der Verarbeitung von WebSocket-Nachrichten vom Typ ArtifactReady. Der Client validiert die Pfadkomponenten in den Feldern artifact_name und download_path nicht ausreichend. Ein Angreifer kann Path-Traversal-Sequenzen wie ../ einschleusen, um:
- Sensitive Dateien durch Ãœberschreiben zu manipulieren
- Arbitrary Content an beliebige Lokationen zu schreiben
- Lokale Dateien in zugreifbare Verzeichnisse zu kopieren
Der Angriff erfolgt auf Netzwerk-Ebene (CVSS-Vektor: Network) und erfordert Kontrolle über die Build-Server-URL oder Man-in-the-Middle-Fähigkeiten.
Empfohlene Massnahmen
- Sofort: Upgrade auf Perry Version 0.5.1159 oder höher durchführen
- Validierung: Input-Validierung für alle Pfadkomponenten implementieren
- Netzwerk: Nur vertrauenswürdige Build-Server zulassen
- Prozessrechte: Perry mit minimalen erforderlichen Schreibrechten ausführen
- Monitoring: Unerwartete Dateischreibvorgänge überwachen
Bewertung
Mit einem CVSS-Score von 8.1 liegt eine ernsthafte Bedrohung vor. Da kein Patch bereitgestellt wurde, ist eine sofortige Update auf gepatchte Versionen erforderlich. Bis dahin sollten organisatorische Massnahmen zur Isolierung untrusted Build-Server implementiert werden.
„`