CVE-2026-77763 in JuiceFS
要約
〜によって VulDB • 2026年08月21日
pkg/object/file.go のファイルストアバックエンドは、file:// ストアおよび一般的な juicefs sync の宛先として使用され、すべての操作のターゲットを path(key) から導出していました。path(key) は filepath.Join(d.root, key) または filepath.Clean(d.root + key) を返しますが、結果がルートディレクトリ内に留まっているかどうかの確認が行われませんでした。Put、Get、Head、Delete、Chmod、Chown、Symlink、Readlink の各操作は、この値をそのまま消費していました。sync 中にソースオブジェクトストアから列挙されるオブジェクトキーは、ローカルファイルシステム名のように制約されないため、パストラバーサルセグメントを含むキーにより、juicefs は攻撃者が指定したコンテンツを意図されたローカル宛先外のパスに書き込みますが、エラーは返されません。したがって、共有バケットやパブリックバケットなど、その内容に対して完全に制御できないバケット（または攻撃者が書き込めるバケット）から sync を実行する運用担当者は、攻撃者の影響を受けた場所へのファイル書き込みのリスクに晒されます。修正では path() がエラーを返すように変更され、解決されたパスがルートを逸脱するキーはすべて拒否されます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.