CVE-2025-25284

ZOO-Project, MIT/X11 Lisenziyası altında buraxılmış açıq mənbəli emal platformasıdır. ZOO-Project-in WPS (Web Processing Service) tətbiqindəki zəiflik, yol keçidi (path traversal) vasitəsilə nəzərdə tutulmuş kataloqdan kənardakı fayllara icazəsiz girişə şərait yaradır. Xüsusilə, Gdal_Translate xidməti VRT (Virtual Format) fayllarını emal edərkən VRTRasterBand elementində istinad edilən fayl yollarını düzgün şəkildə təsdiqləmir və bu, hücumçulara sistemdəki ixtiyari faylları oxumağa imkan verir. Zəiflik xidmətin VRT fayllarındakı SourceFilename parametrini düzgün təmizləməməsi səbəbindən yaranır və nisbi yol keçidi ardıcıllıqlarına (../) yol açır. Bu, VRT-nin xam məlumatlarla işləmə imkanları ilə birlikdə, ixtiyari faylların xam binar məlumat kimi oxunmasına və onların TIFF formatına çevrilməsinə, beləliklə də məzmunlarının üzə çıxmasına imkan verir. Bu zəiflik xüsusilə ciddidir, çünki hücumçuların həssas sistem fayllarını oxumasına, potensial olaraq konfiqurasiya məlumatlarının, etibarnamələrin və ya serverdə saxlanılan digər məxfi məlumatların ifşa olunmasına şərait yaradır. Autentifikasiya olunmamış hücumçu yol keçidi vasitəsilə sistemdən ixtiyari faylları oxuya bilər və serverdə saxlanılan konfiqurasiya faylları, etibarnamələr və ya digər məxfi məlumatlar kimi həssas məlumatlara daxil ola bilər. Zəiflik heç bir autentifikasiya tələb etmir və WPS xidməti vasitəsilə uzaqdan istismar edilə bilər. Bu problem `5f155a8` commit-ində həll edilmişdir və bütün istifadəçilərə yeniləmə etmək tövsiyə olunur. Bu zəiflik üçün məlum olan alternativ həll yolu yoxdur.