Уязвимость CVE-2022-31159 - Документация Инкоманд

AWS SDK для Java позволяет разработчикам на Java работать с Amazon Web Services. В методе downloadDirectory компонента AWS S3 TransferManager в AWS SDK для Java версии 1 до версии 1.12.261 существует проблема с обходом частичного пути. Приложения, использующие SDK, управляют аргументом destinationDirectory, но ключи объектов S3 определяются приложением, загрузившим объекты. Метод downloadDirectory позволяет вызывающей стороне передавать объект файловой системы в качестве ключа объекта, но содержит ошибку в логике проверки имени ключа. Опытный пользователь может обойти логику проверки, включив в ключ корзины UNIX-двойную точку. При определенных условиях это может позволить ему получить каталог из корзины S3, который находится на один уровень выше в файловой системе, чем его рабочий каталог.

Область действия этой проблемы ограничена каталогами, префикс имени которых совпадает с именем целевого каталога. Например, для целевого каталога /tmp/foo злоумышленник может вызвать загрузку в /tmp/foo-bar, но не в /tmp/bar. Если для загрузки содержимого ненадежного сегмента используется метод com.amazonaws.services.s3.transfer.TransferManager::downloadDirectory, содержимое этого сегмента может быть записано за пределами целевого каталога.

Версия 1.12.261 содержит исправление этой проблемы. В качестве обходного пути при вызове com.amazonaws.services.s3.transfer.TransferManager::downloadDirectory передайте KeyFilter, который запрещает объектам S3ObjectSummary возвращать методом getKey строку, содержащую подстроку..`.

Данная уязвимость устранена в релизе Инкоманд 7.3.5.1.