CVE-2026-47754

Metacat tədqiqatçıların məlumatları qorumasına, paylaşmasına və kəşf etməsinə kömək edən məlumat repozitoriyası proqram təminatıdır. 2.x-dən 2.19.1-ə qədər olan versiyalar və bütün 1.x versiyaları orijinal 1.x Metacat API-nin bir hissəsi olan `action=read` son nöqtəsinin (endpoint) `archiveEntryName` parametrində autentifikasiyasız yol keçidi (path traversal) boşluğu ehtiva edir. `ArchiveHandler.readArchiveEntry()` istifadəçi tərəfindən təqdim edilən parametri yoxlama aparmadan fayl sistemi yoluna birləşdirir və ətrafdakı `hasReadPermission()` yoxlaması şərhə alınıb. Autentifikasiya olunmamış uzaq hücumçu tək bir GET sorğusu göndərməklə Tomcat prosesi üçün əlçatan olan hər hansı faylı oxuya bilər. Bu zəifliyə qarşı konsept sübutu (PoC) eksploytləri nümayiş etdirilib və təsdiqlənib; bu, 1.x API-yə girişi olan hər hansı istifadəçi üçün 3.0.0-dan kiçik olan bütün Metacat quraşdırmalarında asanlıqla istismar edilə bilən kimi qiymətləndirilməlidir. Bu zəiflik vasitəsilə istehsalat mühitindəki 2.x quraşdırmaları etibarnamələrin oğurlanması, federasiya daxilində üzv düyünlərin imitasiyasını mümkün edən müştəri sertifikatlarının və gizli açarların sızdırılması, embargoda olan tədqiqat məlumatlarının açıqlanması və geniş sistem kəşfiyyatı riskləri ilə üzləşmiş olur. Metacat-ın DataONE repozitoriyaları şəbəkəsi və federal maliyyələşdirilən tədqiqat proqramları üzrə yayılma miqyası nəzərə alındıqda, risk altında olan 2.x instansiyalarının sayı az deyil. Zəiflik, bu boşluğa səbəb olan bütün Metacat 1.x API-nin ləğvi ilə Metacat 3.0.0 və ondan sonrakı versiyalarda aradan qaldırılmışdır. Boşluq, `ArchiveHandler.java` daxil olmaqla köhnə Metacat API-ni silən Metacat 3.0.0 versiyasının buraxılması ilə 2024-cü ilin aprel ayında düzəldilmişdir. Commit mesajı və problem istinadı memarlıq təmizliyinə işarə edir, təhlükəsizlik düzəlişinə deyil və heç bir bildiriş və ya CVE təqdim edilməmişdir. Metacat-da standart təcrübə olduğu kimi, yalnız ən aktual versiya dəstəkləndiyi üçün 2.x budağına geri portlaşdırma (backport) edilməmişdir və edilməyəcəkdir. 2.19.1 versiyası eyni kodla zəif qalır və dəstəklənmə müddəti başa çatıb. Müvəqqəti həll yolu kimi 1.x API servletlərini söndürün və ya məhdudlaşdırın. Zəif 1.x API-nin əksər Metacat quraşdırmalarında artıq istifadə edilməməsi və ya lazım olmaması səbəbindən, köhnə API son nöqtələrinə girişi məhdudlaşdırmaq 2.19.x quraşdırmaları üçün riski azalda və ya aradan qaldıra bilər. Həmin funksiyaları sildikdən sonra Tomcat-i və ya servletləri host edən digər proqram təminatını yenidən başladın.