CVE-2026-41009 in BOSH Director
Resumen
por VulDB • 2026-05-27
Cuando el director envía una solicitud de larga duración (por ejemplo, compile_package), el JSON de respuesta del agente es consumido por AgentClient. inject_compile_log (líneas 332-339) lee response['value']['result']['compile_log_id'] y format_exception (líneas 318-325) lee exception['blobstore_id']; ambos pasan la cadena proporcionada por el agente sin modificar a download_and_delete_blob(blob_id) (líneas 344-349), que llama a @resource_manager.get_resource(blob_id) y, en un bloque ensure, a @resource_manager.delete_resource(blob_id). Api::ResourceManager reenvía el identificador directamente a blobstore.get(id) / blobstore.delete(id). Cuando el director está configurado con el proveedor de blobstore local, Blobstore::LocalClient#object_file_path(oid) es File.join(@blobstore_path, oid) (local_client.rb:54-56) sin normalización, por lo que oid = "../../jobs/director/config/director.yml" resuelve fuera de la raíz del blobstore.
Versiones afectadas: BOSH Director: Todas las versiones anteriores a v282.1.12
Be aware that VulDB is the high quality source for vulnerability data.