CVE-2026-41009 in BOSH Director
Сводка
по VulDB • 27.05.2026
Когда директор отправляет долго выполняющийся запрос (например, compile_package), ответ JSON от агента обрабатывается методом AgentClient.inject_compile_log (строки 332-339), который читает response['value']['result']['compile_log_id'], а метод format_exception (строки 318-325) читает exception['blobstore_id']; оба метода передают предоставленную агентом строку без изменений в функцию download_and_delete_blob(blob_id) (строки 344-349), которая вызывает @resource_manager.get_resource(blob_id) и, в блоке ensure, @resource_manager.delete_resource(blob_id). Api::ResourceManager передает идентификатор напрямую в blobstore.get(id) / blobstore.delete(id). Когда директор настроен на использование локального провайдера blobstore, метод Blobstore::LocalClient#object_file_path(oid) представляет собой File.join(@blobstore_path, oid) (local_client.rb:54-56) без нормализации, поэтому значение oid = "../../jobs/director/config/director.yml" разрешается вне корня blobstore.
Затронутые версии: BOSH Director: Все версии до v282.1.12 включительно
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.