CVE-2014-3626

Grails Resource Plugin tez-tez resurslar üçün URI-ləri digər daxili komponentlərlə mübadilə etməli olur. Həmin digər komponentlər onlara ötürülən hər hansı bir URI-ni dekodlaşdırır. Kataloq keçidi (directory traversal) hücumlarından qorunmaq üçün Grails Resource Plugin aşağıdakıları yerinə yetirirdi: URI-ni normallaşdırmaq, normallaşdırılmış URI-nin müvafiq kök kataloqundan (məsələn, veb tətbiqin kök kataloqundan) kənara çıxmadığını yoxlamaq, URI-ni dekodlaşdırmaq və bunun əlavə /../ (və oxşar) ardıcıllıqlar yaratmadığını yoxlamaq. 1.2.13 versiyasından əvvəlki Grails Resource Plugin-də kataloq keçidi yoxlamasından sonra URI-nin normallaşdırılmış versiyası əvəzinə dekodlaşdırılmış versiyasının qaytarılması ilə bağlı bir xəta yarandı. Bu, ikiqat dekodlaşdırma zəifliyini ortaya çıxardı. Bu problemi həll etmək üçün Grails Resource Plugin artıq URI-ni üç dəfəyə qədər və ya dekodlaşdırma artıq URI-ni dəyişməyənə qədər təkrarlanmış şəkildə dekodlaşdırır. Əgər 3 dekodlaşdırma limiti aşılarsa, URI rədd edilir. Bunun yan təsiri odur ki, Grails Resource Plugin resursa gedən tam yolda '%' simvolu olan resursları təmin edə bilmir. Müxtəlif servlet konteynerlərində URL-lərin həlli arasındakı fərqlərə görə bütün mühitlər zəifliyə məruz qalmır. Tomcat 8 və Jetty 9-da yerləşdirilmiş tətbiqlərin zəifliyə məruz qalmadığı, lakin JBoss EAP 6.3 / JBoss AS 7.4 və JBoss AS 7.1-də yerləşdirilmiş tətbiqlərin zəifliyə məruz qaldığı müəyyən edilmişdir (digər JBoss versiyaları test edilməmişdir). Bəzi hallarda JBoss, URL həlli metodlarından (ClassLoader.getResources) JBoss-a xas vfs protokolu URL-lərini qaytarır. JBoss vfs URL protokolu fayl sistemindəki istənilən faylın həllini dəstəkləyir. Bu, kataloq keçidini mümkün etmişdir. JBoss-dan əlavə, bu zəifliyin mövcud olduğu digər konteynerlər də ola bilər.