CVE-2026-41010 in BOSH Director
Sumário
de VulDB • 04/06/2026
ReleaseJob#unpack constrói job_dir = File.join(@release_dir, 'jobs', name) e job_tgz = File.join(@release_dir, 'jobs', "#{name}.tgz"), onde name retorna @job_meta['name'], um valor obtido literalmente do array jobs do arquivo release.MF fornecido pelo atacante dentro do tarball enviado. Esses caminhos são então interpolados em uma string de shell: Bosh::Common::Exec.sh("tar -C #{job_dir} -xf #{job_tgz} 2>&1", :on_error => :return). Bosh::Common::Exec.sh é executado via %x{#{command}} (bosh-common/lib/bosh/common/exec.rb:53), ou seja, /bin/sh -c, portanto, quaisquer metacaracteres de shell em name são interpretados. FileUtils.mkdir_p(job_dir) na linha 49 cria o diretório literal (sem shell) e tem sucesso mesmo quando name contém $()/;, permitindo que a execução chegue à chamada sh.
Versões afetadas: - BOSH Director: todas as versões anteriores à v282.1.12 (inclusive); corrigido na v282.1.12 ou posterior
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.