CVE-2026-78254

Apache Ant-in ftp və scp tapşırıqları uzaq serverdən faylları yükləyə bilir. Zərərli server, yükləmə üçün ayrılmış hədəf kataloqundan kənara yazmağa imkan verən nisbi yollar təqdim edə bilər ki, bu da Ant 1.10.18 versiyasından əvvəlki versiyalarda Ant-i işlədən istifadəçinin icazələri ilə hücum edənin seçdiyi faylların üzərinə yazılmasını mümkün edir. Bu zəiflikdən istifadə etmək üçün server ya zərərli olmalı, ya da "machine-in-the-middle" hücumuna məruz qalmalıdır. Əlavə olaraq, scp və ya ftps istifadə edən ftp tapşırığı halında, server tapşırıqlar tərəfindən həyata keçirilən server kimliyi yoxlamalarından keçməlidir. ftps istifadə etməyən ftp tapşırıqları üçün zərərli server, zərərli fayllar təqdim etmək üçün "machine-in-the-middle" kimi çıxış edə bilər. Ant 1.10.18 versiyasından başlayaraq, hər iki tapşırıq standart olaraq təyinat kataloqundan kənara yazılmasının qarşısını alacaqdır. Mövcud qurma (build) fayllarının köhnə davranışa ehtiyacı olduğu az ehtimallı hallarda, bu davranışı deaktiv etmək üçün seçim mövcuddur. Yüngülləşdirici tədbirlər: Ant-in istənilən versiyasında scp və ftp (ftps istifadə edildikdə) istifadəçiləri server kimliyi yoxlamalarını yan keçməməlidir. ftps istifadə etməyən ftp istifadəçiləri mümkünsə ftps-ə keçid etməlidirlər. Bütün istifadəçilərə bu problemi aradan qaldıran Apache Ant 1.10.18 versiyasına yeniləmə etmək tövsiyə olunur.