CVE-2026-47754

Metacat, araştırmacıların verileri korumasına, paylaşmasına ve keşfetmesine yardımcı olan bir veri deposu yazılımıdır. 2.x ile 2.19.1 arasındaki sürümler ve tüm 1.x sürümleri, orijinal 1.x Metacat API'sinin bir parçası olan `action=read` uç noktasının `archiveEntryName` parametresinde kimlik doğrulaması gerektirmeyen bir yol geçişi (path traversal) içerir. `ArchiveHandler.readArchiveEntry()`, kullanıcı tarafından sağlanan parametreyi doğrulama yapmadan bir dosya sistemi yoluna birleştirir ve çevresindeki `hasReadPermission()` kontrolü yorum satırı haline getirilmiştir. Kimlik doğrulaması yapılmamış uzak bir saldırgan, tek bir GET isteği göndererek Tomcat sürecinin erişebildiği herhangi bir dosyayı okuyabilir. Kavram kanıtı (proof-of-concept) istismarları gösterilmiş ve bu güvenlik açığına karşı doğrulanmıştır; 1.x API'sine erişimi olan herhangi bir kullanıcı tarafından 3.0.0'dan küçük her Metacat dağıtımı için kolayca istismar edilebilir olarak değerlendirilmelidir. Bu güvenlik açığı aracılığıyla, üretim 2.x dağıtımları kimlik bilgisi hırsızlığına, federasyon içinde üye düğüm (member node) kimliğine bürünmeyi mümkün kılan istemci sertifikası ve özel anahtar sızdırılmasına, ambargolu araştırma verilerinin ifşasına ve geniş çaplı sistem keşfine maruz kalmaktadır. Metacat'ın DataONE depo ağı ve federal olarak finanse edilen araştırma programları genelindeki dağıtım ayak izi göz önüne alındığında, maruz kalan 2.x örneklerinin sayısı azımsanmayacak düzeydedir. Güvenlik açığı, bu güvenlik açığını ortaya çıkaran Metacat 1.x API'sinin tamamının kaldırılmasıyla Metacat 3.0.0 sürümünde ve sonrasında giderilmiştir. Güvenlik açığı, Nisan 2024'te ArchiveHandler.java dahil olmak üzere eski Metacat API'sini kaldıran Metacat 3.0.0 sürümünün yayımlanmasıyla giderilmiştir. Commit mesajı ve sorun (issue) referansı bir güvenlik düzeltmesine değil, mimari temizliğe işaret etmektedir ve herhangi bir bildirim (advisory) veya CVE yayımlanmamıştır. 2.x dalı, yalnızca en güncel sürümü destekleyen Metacat'taki standart uygulama olduğu üzere, geriye dönük uyarlanmamıştır ve uyarlanmayacaktır. 2.19.1, aynı kodla güvenlik açığı içermeye devam etmektedir ve desteklenen ömrünü aşmıştır. Geçici çözüm olarak, 1.x API servlet'lerini devre dışı bırakın veya kısıtlayın. Güvenlik açığı içeren 1.x API'si çoğu Metacat dağıtımında artık kullanılmadığından veya gerekli olmadığından, eski API uç noktalarına erişimin kısıtlanması 2.19.x dağıtımları için maruziyeti azaltabilir veya ortadan kaldırabilir. Bu özellikler kaldırıldıktan sonra Tomcat'i veya servlet'leri barındıran yazılımı yeniden başlatın.