CVE-2026-44941

Path traversal w opcji 'keyhint' libzypp umożliwia nadpisanie plików jako root

CVSS 8.4v3.1pub. 2026-07-02upd. 2026-07-07

Biblioteka libzypp przed wersją 17.38.12 zawiera podatność typu relative path traversal w obsłudze opcji 'keyhint' podczas parsowania pliku repomd.xml. Atakujący kontrolujący złośliwe repozytorium może wstrzykiwać lub nadpisywać dowolne pliki na docelowym systemie z uprawnieniami roota.

▸ Pokaż oryginał (EN)

A relative path traversal in the "keyhint" option in repomd.xml parsing of libzypp before 17.38.12 can be used by attackers able to supply a malicious repository to inject or overwrite files in the target system as root.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej walidacji ścieżki relative przekazywanej w polu 'keyhint' pliku repomd.xml — metadanych repozytorium pakietów. Atakujący mogący dostarczyć złośliwe repozytorium (np. poprzez atak man-in-the-middle lub podmianę URL repozytorium) może skonstruować wartość 'keyhint' zawierającą sekwencje path traversal (np. '../'). Libzypp przetwarza tę ścieżkę bez odpowiedniej normalizacji, co prowadzi do zapisu pliku poza zamierzonym katalogiem, z uprawnieniami procesu zarządzającego pakietami (root).

Skutki

Atakujący może wstrzyknąć lub nadpisać dowolne pliki systemowe z uprawnieniami roota, co w praktyce oznacza możliwość pełnego przejęcia kontroli nad systemem, np. poprzez modyfikację plików konfiguracyjnych, binarnych lub skryptów inicjalizacyjnych.

Mitygacja

Należy zaktualizować libzypp do wersji 17.38.12 lub nowszej. Poprawka dostępna jest w oficjalnym repozytorium projektu (commit 294b1bad442d089ca671c5c03adc8031e3b29e04). Dodatkowo zaleca się korzystanie wyłącznie z zaufanych repozytoriów pakietów i weryfikację integralności ich konfiguracji.

Kogo dotyczy

OpenSUSE libzypp w wersjach przed 17.38.12

Uwagi

Podatność wymaga interakcji użytkownika (UI:R) oraz uprawnień administratora po stronie inicjatora (PR:H), jednak scope jest zmieniony (S:C), co odzwierciedla możliwość wpływu na zasoby poza kontekstem bezpośredniej aplikacji. Szczegóły dostępne w zgłoszeniu Bugzilla SUSE: bsc#1267426.