ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
تقوم أداة Yeti بسد الفجوة بين ممارسي CTI وDFIR من خلال توفير منصة وخط أنابيب لاستخبارات الأدلة الجنائية. قبل الإصدار 2.5.1، تستمد YETI قيمة ExportTask.file_name من اسم المهمة الخاضع لسيطرة المستخدم وتمررها إلى core/clients/file_storage/classes/local_storage.py دون تعقيم تسلسلات الاجتياز أو فرض تقييد المسار. يمكن لمستخدم مصادق عليه ذي صلاحيات منخفضة باستخدام خلفية التخزين المحلي الافتراضية استدعاء POST /api/v2/tasks/export/new مع اسم يحتوي على اجتياز واستخدام ExportTask.file_contents عبر GET /api/v2/tasks/export/{export_id}/content لقراءة الملفات القابلة للوصول بواسطة حساب خدمة YETI. يمكن أن تؤدي تشغيل ExportTask.run() أيضًا إلى كتابة مخرجات تصدير يتحكم فيها المهاجم إلى مسار قابل للكتابة يختاره المهاجم. يعتمد التأثير على أذونات نظام الملفات لحساب الخدمة، ولا يتم تأسيس تنفيذ شيفرة عام. تمت إصلاح هذه المشكلة في الإصدار 2.5.1.