FileBrowser Quantum: تتبع الروابط الرمزية يتجاوز نطاق المستخدم مما يسمح قراءة ملفات عشوائية خارج الدليل المُخدّم

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

FileBrowser Quantum هو مدير ملفات مجاني يستضاف ذاتياً ويعتمد على الويب. قبل الإصدارين 1.5.2-stable و2.0.1-beta، تتعامل معالجة قراءة الملفات في backend/pkg/indexing/indexingFiles.go مع الروابط الرمزية من خلال GetRealPath دون تأكيد أن الهدف المُحلل يظل داخل الجذر المصدري ونطاق المستخدم المصرح به. وبالتالي، يمكن لتدفقات القراءة الخاصة بالتنزيل، والمعاينة، والوسائط، وOnlyOffice، والمشاركة العامة التي تُمكّن FollowSymlinks تقديم هدف خارج النطاق من خلال رابط رمزي قابل للوصول داخل النطاق. يمكن لمهاجم يملك حسابًا مصادقًا عليه ولديه حق الوصول للتنزيل قراءة الملفات التي يمكن للخادم الوصول إليها خارج النطاق المخصص، ويمكن لحامل رابط المشاركة العامة فعل الشيء نفسه دون حساب عندما يعرض الدليل المشترك مثل هذا الرابط الرمزي. تم إصلاح هذه الثغرة في الإصدارين 1.5.2-stable و2.0.1-beta.

المعالجة

1. أحصِ جميع نشرات gtsteffaniak filebrowser، بما فيها بيئات الاختبار.
2. لا يظهر إصدار مصحَّح في المصادر العامة حتى الآن. راجع المراجع أدناه وتواصل مع المورّد مباشرة.

المراجع

• مرجعhttps://github.com/gtsteffaniak/filebrowser/security/advisories/GHSA-mgqf-5mf5-prfj
• مرجعhttps://github.com/gtsteffaniak/filebrowser/pull/2795
• مرجعhttps://github.com/gtsteffaniak/filebrowser/pull/2800
• مرجعhttps://github.com/gtsteffaniak/filebrowser/commit/3c8c02414eefd3351ffe437fa39ff6eb150ffa67
• مرجعhttps://github.com/gtsteffaniak/filebrowser/commit/4126edeb07a015c3809a89249b283e07a4e50c38
• مرجعhttps://github.com/gtsteffaniak/filebrowser/releases/tag/v1.5.2-stable
• مرجعhttps://github.com/gtsteffaniak/filebrowser/releases/tag/v2.0.1-beta