CVE-2024-6829

Path traversal w Aimstack Aim – zapis plików w dowolnej lokalizacji serwera

CVSS 9.1v3.0pub. 2025-03-20upd. 2025-07-23

Podatność w Aimstack Aim 3.19.3 umożliwia atakującemu rozpakowanie złośliwego archiwum tar do dowolnego miejsca na serwerze bez uwierzytelnienia. Może to prowadzić do nadpisania krytycznych plików systemowych i przejęcia kontroli nad serwerem.

▸ Pokaż oryginał (EN)

A vulnerability in aimhubio/aim version 3.19.3 allows an attacker to exploit the `tarfile.extractall()` function to extract the contents of a maliciously crafted tarfile to arbitrary locations on the host server. The attacker can control `repo.path` and `run_hash` to bypass directory existence checks and extract files to unintended locations, potentially overwriting critical files. This can lead to arbitrary data being written to arbitrary locations on the remote tracking server, which could be used for further attacks such as writing a new SSH key to the target server.

🤖 Analiza AI

Jak działa

Atakujący kontroluje parametry `repo.path` oraz `run_hash`, co pozwala mu ominąć mechanizmy sprawdzania istnienia katalogów. Następnie funkcja `tarfile.extractall()` zostaje wywołana na spreparowanym archiwum tar, które poprzez technikę path traversal kieruje wyodrębniane pliki poza zamierzony katalog docelowy. W efekcie możliwe jest zapisanie dowolnych danych w dowolnych lokalizacjach systemu plików serwera – przykładowo nadpisanie autoryzowanych kluczy SSH.

Skutki

Atakujący może zapisać lub nadpisać dowolne pliki na serwerze, w tym krytyczne pliki systemowe i konfiguracyjne, co może umożliwić trwały nieautoryzowany dostęp do serwera (np. poprzez wstrzyknięcie własnego klucza SSH).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://huntr.com/bounties/7c97065c-1b63-4982-82c1-8038be0ed570). Do czasu aktualizacji zaleca się ograniczenie dostępu sieciowego do serwera śledzenia oraz monitorowanie prób zapisu plików poza autoryzowanymi katalogami.

Kogo dotyczy

Aimstack Aim w wersji 3.19.3

Uwagi

Podatność sklasyfikowana jako CWE-73 (External Control of File Name or Path). Wektor ataku sieciowy bez wymaganego uwierzytelnienia i interakcji użytkownika (AV:N/AC:L/PR:N/UI:N) znacząco zwiększa ryzyko wykorzystania.