CVE-2026-45576

Path Traversal w zrok — zapis plików poza docelowym katalogiem

CVSS 8.3v4.0pub. 2026-07-16upd. 2026-07-20

Podatność typu path traversal w narzędziu zrok (Netfoundry) pozwala atakującemu na zapis plików poza wyznaczonym katalogiem docelowym lokalnego systemu plików. Zagrożenie dotyczy wersji od 0.4.23 do 2.0.3 i może prowadzić do nieautoryzowanej modyfikacji plików systemowych lub danych aplikacji.

▸ Pokaż oryginał (EN)

zrok is software for sharing web services, files, and network resources. From 0.4.23 until 2.0.3, `zrok2 copy` stores attacker-controlled WebDAV or zrok drive paths such as /../outside.txt in the source inventory and passes them to FilesystemTarget.WriteStream, allowing the sync pipeline to write files outside the selected local filesystem destination root. This issue is fixed in version 2.0.3.

🤖 Analiza AI

Jak działa

Polecenie `zrok2 copy` akceptuje ścieżki WebDAV lub zrok drive kontrolowane przez atakującego, zawierające sekwencje path traversal takie jak `/../outside.txt`. Ścieżki te są zapisywane w inwentarzu źródłowym i następnie przekazywane do komponentu `FilesystemTarget.WriteStream`. Potok synchronizacji nie weryfikuje właściwie, czy wynikowa ścieżka zapisu mieści się w obrębie wskazanego katalogu docelowego, co umożliwia zapis pliku w dowolnym miejscu dostępnym dla procesu.

Skutki

Atakujący może zapisywać lub nadpisywać pliki poza wyznaczonym katalogiem docelowym, w tym potencjalnie modyfikować pliki konfiguracyjne, binaria lub dane systemowe. W konsekwencji możliwe jest naruszenie integralności zarówno lokalnego systemu, jak i systemów z nim powiązanych (wysoki wpływ na integralność zasobu bezpośredniego i zasobu pobocznego).

Mitygacja

Należy zaktualizować zrok do wersji 2.0.3 lub nowszej, w której problem został rozwiązany. Szczegóły poprawki dostępne są w repozytorium GitHub projektu (commit a5811e61589d2f804267c6de4a9056db1bdea457) oraz w security advisory GHSA-c656-jcx2-7pqj.

Kogo dotyczy

Netfoundry zrok w wersjach od 0.4.23 do 2.0.2 (włącznie); problem naprawiony w wersji 2.0.3.

Uwagi

Podatność wymaga interakcji użytkownika (UI:A w wektorze CVSS 4.0) — atakujący musi skłonić ofiarę do wykonania operacji `zrok2 copy` z kontrolowaną przez siebie ścieżką WebDAV lub zrok drive.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:H/VA:N/SC:H/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X