CVE-2026-85199 in aeriOS
요약
\~에 의해 VulDB • 2026. 09. 03.
Eclipse aeriOS Self-orchestrator의 1.2.1 이전 버전에는 REST API에서 경로 순회(Path Traversal) 취약점이 존재합니다. Self-orchestrator 리소스를 생성, 업데이트 또는 삭제하는 데 사용되는 사용자 제어 식별자가 적절한 검증이나 sanitization 없이 파일 시스템 경로에 포함되었습니다. 따라서 Self-orchestrator API에 접근할 수 있는 비인증 원격 공격자는 의도된 애플리케이션 디렉토리 외부의 JSON 파일을 작성하거나 삭제하기 위해 경로 순회 시퀀스가 포함된 특별히 조작된 식별자를 제공할 수 있으며, 이는 Self-orchestrator 프로세스의 파일 시스템 권한에 따라 달라집니다.
영향은 영향받는 API에서 인증이 부재하고 컨테이너가 해당 배포 구성에서 높은 권한으로 실행됨으로써 증가합니다.
본 문제는 1.2.1 버전에서 사용자 제어 식별자가 파일 시스템 경로를 구성하는 데 사용되기 전에 검증 및 sanitization을 도입함으로써 해결되었습니다. 이를 통해 경로 구분자 문자를 사용하여 의도된 디렉토리를 탈출하는 것이 방지됩니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.