CVE-2025-53622

DSpace açık kaynaklı yazılımı, dijital kaynaklara kalıcı erişim sağlayan bir depo uygulamasıdır. 7.6.4, 8.2 ve 9.1 versiyonlarından önce, komut satırı üzerinden (`./dspace import` komutuyla) veya "Batch Import (Zip)" kullanıcı arayüzü özelliği aracılığıyla bir arşiv (Simple Archive Format'ta) içe aktarma sırasında yol aşımı (path traversal) zafiyeti mümkündür. Bir saldırgan, `contents` dosyasının Tomcat kullanıcısı tarafından okunabilen herhangi bir sistem dosyasına (göreli aşım dizileri kullanarak) referans verdiği kötü amaçlı bir Simple Archive Format (SAF) paketi oluşturabilir. Böyle bir paket içe aktarıldığında, bu durum DSpace'in çalıştığı sunucudan rastgele dosyaların veya yapılandırmaların alınması dahil olmak üzere hassas içeriğin ifşasıyla sonuçlanacaktır. Simple Archive Format (SAF) içe aktarıcısı / Batch Import (Zip) yalnızca site yöneticileri (kullanıcı arayüzü / REST API üzerinden) veya sistem yöneticileri (komut satırı üzerinden) tarafından kullanılabilir. Bu nedenle, bu zafiyetten yararlanmak için kötü amaçlı yükün bir saldırgan tarafından sağlanması ve (içe aktarmayı tetikleyecek olan) bir yönetici tarafından güvenilir bulunması gerekir. Düzeltme DSpace 7.6.4, 8.2 ve 9.1 sürümlerinde yer almaktadır. Hemen yükseltme yapamayanlar için DSpace arka ucunu manuel olarak yamalamak mümkündür. (Ön uçta herhangi bir değişiklik yapılmasına gerek yoktur.) DSpace 7.6.x, 8.x veya 9.0 çalıştıran sistemleri yamalamak için kullanılabilecek bir pull request mevcuttur. Geçici çözümlerle sistemi tamamen korumak mümkün olmasa da, en iyi uygulama yöntemleri uygulanabilir. Yöneticiler, içe aktarmadan önce (kendilerinin oluşturmadığı) tüm SAF arşivlerini dikkatlice incelemeli ve `contents` dosyasının SAF arşivlerinin dışındaki dosyalara referans vermediğini doğrulamaya özen göstermelidir.