CVE-2017-14804
package builds could use directory traversal to write outside of target area
Em resumo
Uma falha no pacote build permitia que compilações não confiáveis gravassem arquivos fora do diretório pretendido durante a extração de resultados, comprometendo potencialmente todo o sistema. Isso ocorria porque o pacote não validava adequadamente os nomes de diretórios.
Detalhe técnico
O pacote build anterior à versão 20171128 não sanitizava nomes de diretórios durante a extração de artefatos de compilação, habilitando um ataque de travessia de diretório (CWE-22). Uma compilação não confiável poderia explorar isso para gravar arquivos fora do buildroot, escapando do isolamento e potencialmente alcançando escrita arbitrária de arquivo no sistema anfitrião.
Resumo gerado e traduzido por IA a partir da descrição oficial.
The build package before 20171128 did not check directory names during extraction of build results that allowed untrusted builds to write outside of the target system,allowing escape out of buildroots.
CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Produtos afetados
SUSE · buildQuer saber se a sua infraestrutura está exposta a isto?
Falar com a TrueHacking →