CVE-2017-14804: falha crítica em SUSE build
package builds could use directory traversal to write outside of target area
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
Uma falha no pacote build permitia que compilações não confiáveis gravassem arquivos fora do diretório pretendido durante a extração de resultados, comprometendo potencialmente todo o sistema. Isso ocorria porque o pacote não validava adequadamente os nomes de diretórios.
O pacote build anterior à versão 20171128 não sanitizava nomes de diretórios durante a extração de artefatos de compilação, habilitando um ataque de travessia de diretório (CWE-22). Uma compilação não confiável poderia explorar isso para gravar arquivos fora do buildroot, escapando do isolamento e potencialmente alcançando escrita arbitrária de arquivo no sistema anfitrião.