CVE-2022-31195

DSpace açıq mənbəli proqram təminatı rəqəmsal resurslara davamlı giriş təmin edən repozitoriya tətbiqidir. Təsirə məruz qalan versiyalarda ItemImportServiceImpl komponenti yol keçidi (path traversal) zəifliyinə malikdir. Bu o deməkdir ki, zərərli SAF (simple archive format) paketi Tomcat/DSpace istifadəçisinin serverdə yazı yaza bildiyi hər hansı bir yerdə faylın və ya kataloqun yaradılmasına səbəb ola bilər. Lakin bu yol keçidi zəifliyi yalnız xüsusi imtiyazları olan istifadəçi (Administratorlar və ya serverə komanda sətri vasitəsilə girişi olan şəxs) tərəfindən həyata keçirilə bilər. Bu zəiflik XMLUI, JSPUI və komanda sətrinə təsir göstərir. İstifadəçilərə yeniləmə etmək tövsiyə olunur. Əsas müvəqqəti həll yolu kimi istifadəçilər aşağıdakı URL yollarına bütün girişləri bloklaya bilərlər: Əgər XMLUI istifadə edirsinizsə, /admin/batchimport yoluna (bu, Admin Batch Import alətinin URL-dir) bütün girişləri bloklayın. Nəzərə alın ki, əgər saytınız "/xmlui" yolundan istifadə edirsə, onda /xmlui/admin/batchimport yoluna girişi bloklamalısınız. Əgər JSPUI istifadə edirsinizsə, /dspace-admin/batchimport yoluna (bu, Admin Batch Import alətinin URL-dir) bütün girişləri bloklayın. Nəzərə alın ki, əgər saytınız "/jspui" yolundan istifadə edirsə, onda /jspui/dspace-admin/batchimport yoluna girişi bloklamalısınız. Yalnız Administrator istifadəçisi və ya serverə komanda sətri vasitəsilə girişi olan istifadəçi SAF paketlərini idxal edə/yükləyə bilir. Buna görə də, həmin istifadəçilərin etibarsız SAF paketlərini kor-koranə yükləmədiyi fərz edilərsə, saytınızın bu zəiflikdən təsirlənmə ehtimalı azdır.