„`html
Zusammenfassung
Eine kritische Path-Traversal-Schwachstelle wurde in Pulpcore identifiziert (CVE-2026-12701). Die Validierungsfunktion relative_path_validator blockiert unzureichend Directory-Traversal-Sequenzen wie „../“ innerhalb von Dateipfaden. Dies ermöglicht authentifizierten Administratoren, beliebige Dateien in das Dateisystem des Pulp-Service-Benutzers zu schreiben.
Betroffene Systeme
Die Schwachstelle betrifft Pulpcore-Installationen mit aktivierter FilesystemExport-Funktionalität. Besonders gefährdet sind Systeme, auf denen Administratoren mit erhöhten Berechtigungen arbeiten oder externe Automation vorhanden ist.
Technische Details
Fehlerhafte Validierung: Die relative_path_validator-Funktion prĂĽft nur, ob Pfade nicht mit „/“ beginnen. Sie filtert jedoch nicht rekursiv eingebettete Traversal-Sequenzen wie „../“ oder „..\\“ in nachfolgenden Pfadsegmenten.
Exploit-Szenario: Ein Angreifer mit Admin-Zugriff konstruiert einen manipulierten relativen Pfad wie „looking/normal/../../../../etc/shadow“. Während die Validierung den Pfad akzeptiert, ermöglicht die fehlende Normalisierung das Verlassen des Export-Verzeichnisses. Kombiniert mit kontrollierbarem Dateiinhalt können kritische Systemdateien ĂĽberschrieben werden.
Angriffsvektor: Netzwerk-basiert via REST-API oder Web-Interface. Erfordert gĂĽltige Administrator-Credentials.
Empfohlene Massnahmen
- Sofortig: Einschränkung von Admin-Konten auf vertrauenswürdige Benutzer
- Mitigationen: Filesystem-Permissions des Pulp-Service-Benutzers minimieren, SELinux/AppArmor aktivieren
- Monitoring: Verdächtige Dateischreibzugriffe in kritischen Verzeichnissen protokollieren
- Updates: Patch abwarten und sobald verfĂĽgbar einspielen
Bewertung
CVSS 9.0 (Critical): Hohes Angriffspotential durch Authentifizierungsanforderung (AV:N/PR:H) mit vollständiger Integrität und Verfügbarkeit gefährdet. Sofortige Maßnahmen erforderlich.
„`