CVE-2024-36116

Reposilite; JVM ekosistemindeki Maven tabanlı artefaktlar için açık kaynaklı, hafif ve kullanımı kolay bir depo yöneticisidir. Reposilite, artefaktların dokümantasyonunu içeren arşivler olan JavaDocs dosyaları için destek sağlar. Özellikle JavadocEndpoints.kt denetleyicisi, javadoc arşivinin sunucu dosya sistemine açılmasına ve içeriğinin döndürülmesine izin verir. Sorun, arşivlerin açılma yönteminde, özellikle yeni dosya adının oluşturulma biçimindedir. Arşivden alınan `file.name`, '/../../../anything.txt' gibi dizin gezginliği (path traversal) karakterleri içerebilir, bu nedenle sonuçlanan çıkarma yolu hedef dizinin dışında olabilir. Eğer arşiv, örneğin Maven Central veya JitPack gibi güvenilmeyen bir kaynaktan alınmışsa, bir saldırgan Reposilite örneğindeki herhangi bir yerel dosyayı üzerine yazmak için özel bir arşiv hazırlayabilir. Bu durum, örneğin '$workspace$/plugins' dizinine yeni bir eklenti yerleştirerek uzaktan kod çalıştırmaya yol açabilir. Alternatif olarak, bir saldırgan başka herhangi bir paketin içeriğini üzerine yazabilir. Saldırganın, Reposilite üzerindeki herhangi bir diğer paketi üzerine yazmak için Maven Central'daki kendi kötü amaçlı paketini kullanabileceği unutulmamalıdır. Reposilite bu sorunu 3.5.12 sürümünde gidermiştir. Kullanıcıların yükseltme yapmaları önerilir. Bu güvenlik açığı için bilinen bir geçici çözüm yoktur. Bu sorun GitHub Security lab tarafından keşfedilmiş ve raporlanmıştır; ayrıca GHSL-2024-073 olarak takip edilmektedir.