CVE-2021-41131

python-tuf, The Update Framework'ün (TUF) bir Python referans uygulamasıdır. Hem istemcilerde (`tuf/client` ve `tuf/ngclient`), `get_one_valid_targetinfo()` çağrısı yapıldığında en kötü durumda istemci sistemindeki herhangi bir konumda `.json` ile biten dosyaların üzerine yazılabileceği bir path traversal zafiyeti bulunmaktadır. Bu durum, dosya adını oluşturmak için rolename kullanılması ve bunun path traversal karakterleri (örneğin `../../name.json`) içerebilmesi nedeniyle oluşur. Etki şu gerçeklerle hafifletilmiştir: Yalnızca delegasyonlu hedeflerin meta verileri için rastgele rolename seçimine izin veren uygulamaları etkiler; saldırı, A) path traversal içeren rol için yeni meta veri ekleme ve B) mevcut hedef meta verileri tarafından delegasyon verilmiş olan rolü elde etme yeteneği gerektirir; yazılan dosya içeriği, geçerli ve imzalı bir hedef dosyası olması gerektiğinden büyük ölçüde kısıtlanmıştır. Dosya uzantısı her zaman .json şeklindedir. Versiyon 0.19 veya daha yenisinde bir düzeltme mevcuttur. Kod değişikliği gerektirmeyen herhangi bir geçici çözüm bulunmamaktadır. İstemciler, rolenameler için izin verilen karakter kümesini kısıtlayabilir veya meta verileri savunmasız olmayan şekilde adlandırılmış dosyalarda saklayabilirler; ancak bu yaklaşımların hiçbiri python-tuf üzerinde değişiklik yapmadan mümkün değildir.