CVE-2021-32829

ZStack, veri merkezlerini otomatikleştirmeyi, işlem, depolama ve ağ kaynaklarını tamamen API'ler aracılığıyla yönetmeyi amaçlayan açık kaynaklı bir IaaS (hizmet olarak altyapı) yazılımıdır. ZStack REST API'nin etkilenen sürümleri, Groovy shell sandbox'ının atlatılması yoluyla kimlik doğrulama sonrası Uzaktan Kod Çalıştırma (RCE) açığına karşı savunmasızdır. REST API, BatchQueryAction sınıfı tarafından desteklenen GET zstack/v1/batch-queries?script uç noktasını sunar. Mesajlar APIBatchQueryMsg ile temsil edilir, QueryFacadeImpl cephesine gönderilir ve BatchQuery sınıfı tarafından işlenir. HTTP istek parametresi script, APIBatchQueryMsg.script özelliğine eşlenir ve BatchQuery.query içinde bir Groovy betiği olarak değerlendirilir; kullanıcı kontrollü Groovy betiğinin değerlendirilmesi, kayıtlı (sandbox.register()) GroovyInterceptor içinde tanımlanan kısıtlamaları uygulayan SandboxTransformer tarafından sandbox'a alınır. Sandbox, alıcı türlerini küçük bir izin verilen tür kümesiyle yoğun şekilde kısıtlasa da, Java ek açıklamalarına yerleştirilen herhangi bir kodu kontrol etmede etkisizdir ve bu nedenle meta-programlama kaçışlarına karşı savunmasızdır. Bu sorun, kimlik doğrulama sonrası uzaktan kod çalıştırmaya yol açar. Daha fazla ayrıntı için başvurulan GHSL-2021-065'e bakın. Bu sorun 3.8.21, 3.10.8 ve 4.1.0 sürümlerinde yamalanmıştır.