CVE-2026-41010 in BOSH Director
Zusammenfassung
von VulDB • 04.06.2026
ReleaseJob#unpack erstellt job_dir = File.join(@release_dir, 'jobs', name) und job_tgz = File.join(@release_dir, 'jobs', "#{name}.tgz"), wobei name @job_meta['name'] zurückgibt, einen Wert, der unverändert aus dem jobs:-Array der vom Angreifer bereitgestellten release.MF innerhalb des hochgeladenen Tarballs stammt. Diese Pfade werden anschließend in einen Shell-String interpoliert: Bosh::Common::Exec.sh("tar -C #{job_dir} -xf #{job_tgz} 2>&1", :on_error => :return). Bosh::Common::Exec.sh wird über %x{#{command}} ausgeführt (bosh-common/lib/bosh/common/exec.rb:53), d. h. /bin/sh -c, sodass alle Shell-Metazeichen in name interpretiert werden. FileUtils.mkdir_p(job_dir) in Zeile 49 erstellt das wörtliche Verzeichnis (keine Shell) und ist erfolgreich, auch wenn der Name $()/; enthält, sodass die Ausführung die sh-Aufrufe erreicht.
Betroffene Versionen: - BOSH Director: alle Versionen vor v282.1.12 (inklusive); behoben in v282.1.12 oder höher
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.