CVE-2025-25284

ZOO-Project, MIT/X11 Lisansı altında yayınlanmış açık kaynaklı bir işleme platformudur. ZOO-Project'in WPS (Web Processing Service) uygulamasındaki bir güvenlik açığı, dizin gezginliği (path traversal) yoluyla hedeflenen dizinin dışındaki dosyalara yetkisiz erişime izin vermektedir. Özellikle Gdal_Translate servisi, VRT (Virtual Format) dosyalarını işlerken VRTRasterBand öğesinde referans verilen dosya yollarını düzgün şekilde doğrulamamakta ve bu durum saldırganların sistemdeki rastgele dosyaları okumasına olanak tanımaktadır. Güvenlik açığı, servisin VRT dosyalarındaki SourceFilename parametresini uygun şekilde temizlememesi nedeniyle oluşmakta ve göreceli yol gezginliği dizilerine (../) izin vermektedir. Bu durum, VRT'nin ham veri işleme yetenekleriyle birleştiğinde, rastgele dosyaların ham ikili veri olarak okunmasına ve bunların TIFF formatına dönüştürülerek içeriklerinin ifşa edilmesine imkan sağlamaktadır. Bu zafiyet; yapılandırma verileri, kimlik bilgileri veya sunucuda saklanan diğer gizli bilgilerin açığa çıkma potansiyeli taşıdığı için özellikle kritiktir. Kimliği doğrulanmamış bir saldırgan, dizin gezginliği aracılığıyla sistemden rastgele dosyaları okuyabilir ve böylece sunucuda saklanan yapılandırma dosyaları, kimlik bilgileri veya diğer gizli verilere erişebilir. Güvenlik açığı herhangi bir kimlik doğrulama gerektirmez ve WPS servisi üzerinden uzaktan istismar edilebilir. Bu sorun `5f155a8` commit'i ile giderilmiştir ve tüm kullanıcıların güncel sürüme yükseltmeleri önerilir. Bu güvenlik açığı için bilinen bir geçici çözüm bulunmamaktadır.