CVE-2026-77621
KrytyczneCVSS 9.3Streszczenie
Vector to wydajny potok danych obserwowalności. W wersjach od 0.10.0 do 0.57.0 sink plikowy renderuje ścieżkę z szablonu na podstawie pól zdarzenia i otwiera wynik bez ograniczania go do zamierzonego katalogu. Gdy niezaufane źródło dostarczy pole zdarzenia używane w szablonie ścieżki, wartość może zawierać ścieżkę absolutną lub przejście do katalogu nadrzędnego, powodując utworzenie lub nadpisanie plików poza zamierzoną lokalizacją z uprawnieniami procesu Vector.
Ocena ryzyka
Zapis pliku może modyfikować wrażliwe pliki i prowadzić do wykonania kodu, gdy celem jest zadanie zaplanowane, plik autoryzacji lub skrypt wykonywany później.
Rekomendacja
Zaktualizuj Vector do wersji 0.57.0 lub nowszej. Do czasu aktualizacji ogranicz zaufanie do źródeł zdarzeń i unikaj używania pól z niezaufanych źródeł w szablonach ścieżek sinku plikowego.
Inne podatności w Vector
Zobacz wszystkie- CVE-2026-77620Wysokie
W Vector od wersji 0.15.0 do 0.57.0 źródło logstash przekazuje każdą zdekompresowaną ramkę z powrotem do dekodera bez ograniczenia głębokości zagnieżdżonej kompresji. Nieuwierzytelniony zdalny atakujący, który może połączyć się z domyślnym listenerem 0.0.0.0:5044, może wysłać wiele zagnieżdżonych skompresowanych ramek, powodując rekurencyjne dekodowanie, które wyczerpuje stos wątku roboczego i przerywa proces. Problem naprawiono w wersji 0.57.0.
- CVE-2026-77619Wysokie
W Vector od wersji 0.15.0 do 0.57.0 źródło logstash odczytuje z sieci 32-bitową długość skompresowanej ramki i używa jej do rozmiaru bufora w pamięci bez górnego ograniczenia. Nieuwierzytelniony zdalny atakujący, który może połączyć się z domyślnym listenerem 0.0.0.0:5044, może wysłać minimalną ramkę deklarującą wielogigabajtowy ładunek, powodując nadmierną alokację, która może przerwać Vector lub wywołać OOM killer na hoście. Problem naprawiono w wersji 0.57.0.
Oryginalny opis (angielski, źródło NVD)
Vector is a high-performance observability data pipeline. From 0.10.0 until 0.57.0, the file sink renders its templated path from event fields and opens the result without confining it to an intended directory. When an untrusted source supplies an event field used by the path template, the value can contain an absolute path or parent-directory traversal, causing Vector to create parent directories and create or overwrite files outside the intended location with the Vector process privileges. The resulting file write can modify sensitive files and can lead to code execution when a scheduled task, authorization file, or subsequently executed script is targeted. This issue is fixed in version 0.57.0.