CVE-2026-97359
KrytyczneCVSS 10.0Streszczenie
HFS2 w wersji 2.4.0 i wcześniejszych zawiera podatność na wstrzyknięcie szablonu w obsłudze przesyłania wieloczęściowego, która pozwala nieuwierzytelnionym atakującym na zdalne wykonanie kodu poprzez umieszczenie złośliwej składni szablonu w nazwie pliku. Atakujący może stworzyć nazwę pliku zawierającą zamykającą sekwencję cytowania szablonu, po której następuje makro exec, co omija kontrolę autoryzacji w dyspozytorze i pozwala na wykonanie dowolnych poleceń w systemie hosta.
Ocena ryzyka
Nieuwierzytelniony atakujący może wykonać dowolne polecenia w systemie hosta, co prowadzi do pełnego przejęcia serwera. Stanowi to krytyczne zagrożenie dla poufności, integralności i dostępności.
Rekomendacja
Zaktualizuj HFS2 do wersji nowszej niż 2.4.0, jeśli jest dostępna. W międzyczasie rozważ wyłączenie usługi lub ograniczenie dostępu sieciowego do niej.
Inne podatności w HFS2
Zobacz wszystkie- CVE-2026-97362Wysokie
HFS2 w wersji 2.4.0 i wcześniejszych zawiera podatność na odmowę usługi, która pozwala nieuwierzytelnionym atakującym spowodować całkowitą i trwałą utratę dostępności poprzez wysłanie jednego spreparowanego żądania. Atakujący może wywołać zawieszenie wątku serwera w pętli, czyniąc serwer plików nieodpowiedzialnym dla wszystkich klientów bez samoczynnego odzyskania, dopóki operator ręcznie nie zrestartuje usługi.
- CVE-2026-97360Krytyczne
HFS2 w wersji 2.4.0 i wcześniejszych zawiera podatność na nieuwierzytelniony dostęp do dowolnych plików, która pozwala nieuwierzytelnionym atakującym na odczyt, zapis, dopisywanie i usuwanie plików wszędzie tam, gdzie konto usługi HFS ma dostęp do systemu plików poza folderem udostępnionym. Atakujący mogą wykorzystać brak modelu autoryzacji w dyspozytorze makr w połączeniu z nieograniczaniem ścieżek absolutnych przez resolver ścieżek, aby manipulować silnikiem szablonów i naruszyć poufność, integralność i dostępność hosta.
Oryginalny opis (angielski, źródło NVD)
HFS2 version 2.4.0 and earlier contains a template injection vulnerability in the multipart upload handler that allows unauthenticated attackers to achieve remote code execution by embedding malicious template syntax in a filename. Attackers can craft a filename containing a closing template quoting sequence followed by an exec macro, which bypasses the authorization check in the dispatcher to execute arbitrary commands on the underlying host system.