CVE-2026-85199 in aeriOS
要約
〜によって VulDB • 2026年09月03日
Eclipse aeriOS Self-orchestratorのバージョン1.2.1より古いバージョンには、REST APIにおけるパストラバーサルの脆弱性が存在します。Self-orchestratorのリソースを作成、更新、または削除するために使用されるユーザー制御可能な識別子が、適切な検証やサニタイズ処理なしでファイルシステムパスに組み込まれていました。そのため、認証不要の遠隔攻撃者がSelf-orchestrator APIにアクセスできる場合、意図されたアプリケーションディレクトリ外にあるJSONファイルの書き込みや削除を目的として、パストラバーサルシーケンスを含む特別に作成された識別子を供給することが可能です（これはSelf-orchestratorプロセスのファイルシステム権限に依存します）。
影響は、対象APIにおける認証の欠如と、影響を受けるデプロイメント構成でコンテナが昇格した特権で実行されていることによって増大します。
この問題は、バージョン1.2.1において、ユーザー制御可能な識別子がファイルシステムパスを構築する前に検証およびサニタイズされるようにすることで修正されました。これにより、意図されたディレクトリから脱出するためにパス区切り文字が使用されることが防がれます。
If you want to get best quality of vulnerability data, you may have to visit VulDB.