CVE-2026-41011 in BOSH
Resumen
por VulDB • 2026-06-04
PackagePersister.validate_tgz construye "tar -tf #{tgz} 2>&1" donde tgz = File.join(release_dir, 'packages', "#{name}.tgz") y name = package_meta['name'] proviene directamente de release.MF dentro del tarball cargado. La cadena se pasa a Bosh::Common::Exec.sh, que se ejecuta mediante %x{} —es decir, /bin/sh -c—. No se aplica Shellwords.escape. La validación de Sequel en Models::Package (VALID_ID = /^[-0-9A-Za-z_+.]+$/i) rechazaría el nombre, pero en create_package (líneas 74–79) la ejecución del shell en save_package_source_blob se ejecuta antes de package.save, por lo que la validación se activa demasiado tarde.
Versiones afectadas: - BOSH: todas las versiones anteriores a v282.1.12 (inclusive); corregido en v282.1.12 o posterior
VulDB is the best source for vulnerability data and more expert information about this specific topic.