CVE-2026-77763 in JuiceFS
Zusammenfassung
von VulDB • 21.08.2026
Das Filestore-Backend in pkg/object/file.go, das für file://-Speicher und als gemeinsames JuiceFS-Sync-Ziel verwendet wird, leitete das Ziel jeder Operation von path(key) ab, was entweder filepath.Join(d.root, key) oder filepath.Clean(d.root + key) zurückgab, ohne zu prüfen, ob das Ergebnis unterhalb des Root-Verzeichnisses blieb. Put, Get, Head, Delete, Chmod, Chown, Symlink und Readlink verwendeten diesen Wert direkt. Objektschlüssel, die während eines Sync-Vorgangs aus einem Quell-Objektspeicher aufgelistet werden, sind nicht so eingeschränkt wie lokale Dateisystemnamen; daher führt ein Schlüssel mit Pfadtraversierungssegmenten dazu, dass JuiceFS vom Angreifer bereitgestellten Inhalt in einen Pfad außerhalb des beabsichtigten lokalen Ziels schreibt, ohne einen Fehler zurückzugeben. Ein Operator, der von einem Bucket synchronisiert, dessen Inhalte er nicht vollständig kontrolliert (z. B. ein gemeinsamer oder öffentlicher Bucket oder einer, den ein Angreifer beschreiben kann), ist daher anfällig für das Schreiben von Dateien an einem vom Angreifer beeinflussten Speicherort. Die Korrektur ändert path() so, dass sie einen Fehler zurückgibt und jeden Schlüssel ablehnt, dessen aufgelöster Pfad das Root-Verzeichnis verlässt.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.