CVE-2021-41131

python-tuf, The Update Framework (TUF)-ın Python referans tətbiqidir. Hər iki klientdə (`tuf/client` və `tuf/ngclient`) yol keçidi (path traversal) zəifliyi mövcuddur ki, bu da ən pis halda `get_one_valid_targetinfo()` çağırışı zamanı klient sistemində hər hansı yerdə `.json` ilə bitən faylların üzərinə yazılmasına səbəb ola bilər. Bu, rolname-in fayl adını formalaşdırmaq üçün istifadə edilməsi və onun yol keçidi simvolları (məsələn, `../../name.json`) ehtiva edə bilməsi səbəbindən baş verir. Təsir bir neçə faktla yumşaldılır: bu, yalnız delegasiya edilmiş target metadata üçün ixtiyari rolename seçiminə icazə verən tətbiqlərə təsir edir; hücum A) yol keçidi edən rol üçün yeni metadata daxil etmək və B) mövcud targets metadata tərəfindən delegasiya edilmiş rolu əldə etmək imkanını tələb edir; yazılan faylın məzmunu ciddi şəkildə məhdudlaşdırılıb, çünki o, etibarlı və imzalanmış targets faylı olmalıdır. Fayl genişlənməsi həmişə .json olur. Düzəliş 0.19 və ya daha yeni versiyalarda mövcuddur. Kod dəyişikliyi tələb etməyən heç bir alternativ həll yolu yoxdur. Klientlər rolename-lər üçün icazə verilən simvollar çoxluğunu məhdudlaşdıra bilər və ya metadataları zəifliyə meyilli olmayan şəkildə adlandırılmış fayllarda saxlaya bilərlər: bu yanaşmaların heç biri python-tuf-a dəyişiklik etmədən mümkün deyil.