Incorrect path validation could potentially lead to path traversal
Beschreibung
Die `ensurePathIsContained`-Funktion der `Local`-Dateisystemklasse ist theoretisch anfällig für Pfadverläufe, obwohl kein verwertbares Szenario entdeckt wurde. Wenn eine Datei gelesen wird, verwendet ein `Asset`-Objekt die `getFileStream`-Methode des `Volume`, in dem die Asset-Datei gespeichert wird, was wiederum die `getFileStream`-Methode der Dateisystemklasse verwendet, die von diesem `Volume` verwendet wird. Für das "Lokale" Dateisystem gibt diese Funktion einen Stream zu einer Datei auf der lokalen Festplatte zurück, nachdem sie den richtigen Dateipfad überprüft und erstellt hat. Der Dateipfad wird erstellt, indem zuerst der Pfad validiert und dann ein Präfix zum validierten und normalisierten Pfad hinzugefügt wird. Das Präfix ist der Pfad zum lokalen Verzeichnis, das das jeweilige Volumen enthält. Die Reihenfolge der Operationen ist hier wichtig: zuerst ein Validierungsschritt, danach ein Normalisierungsschritt und schließlich die Konstruktion des resultierenden Dateipfades. Dies eröffnet die möglichkeit einer verwundbarkeit im desanitisierungsstil, bei der die normalisierung die annahmen der validierung oder reinigung, die ihr vorausging, ungültig macht. ## Auswirkungen Das Problem ist nicht direkt ausnutzbar, aber zum Härten wird unabhängig davon ein Fix empfohlen.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Auf eine behobene Version aktualisieren: 5.10.6, 4.18.2.
Empfohlene Schritte
- Betroffene Systeme identifizieren: Pixel & Tonic Craft CMS.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.