Podatności DSpace

DSpace, aplikacja repozytoryjna, w wersjach od 8.0-rc1 do przed 8.4, od 9.0-rc1 do przed 9.3 oraz od 10-rc1 do przed 10.0, zawiera podatność na path traversal w usłudze COAR Notify / LDN. Atakujący musi mieć już uprawnienia administratora DSpace. Podczas odczytu pliku wejściowego wzorca (template) używanego do generowania wiadomości LDN, klasa LDN nie sprawdza path traversal ani nie ogranicza szablonów do znanej ścieżki bazowej. Może to pozwolić na odczyt i interpretację niezaufanego pliku z innego miejsca w systemie plików jako szablon Apache Velocity.

DSpace w wersjach od 8.0-rc1 do przed 8.4, od 9.0-rc1 do przed 9.3 oraz 10-rc1 umożliwia zdalne wykonanie kodu (RCE) poprzez szablony Velocity używane do komunikatów COAR Notify/LDN. Problem naprawiono w wersjach 8.4, 9.3 i 10.0.

DSpace, przed wersjami 7.6.7, 8.4, 9.3 i 10.0, w funkcji Curation Task pozwala na użycie ścieżki wyjściowej przez parametr -r, która nie jest ograniczona do żadnej konkretnej ścieżki bazowej. Oznacza to, że każda ścieżka zapisywalna przez użytkownika DSpace (często 'tomcat') jest dozwolona. Stanowi to podatność na path traversal w skrypcie curate.

DSpace, przed wersjami 7.6.7, 8.4, 9.3 i 10.0, podczas ingestii zagregowanego zasobu ORE przez URI (przy użyciu OAI-ORE Harvester), Crosswalk ORE Ingestion nie waliduje schematu URI. Może to pozwolić na lokalne dołączanie plików poprzez złośliwe ścieżki, takie jak file:///etc/passwd. Atakujący musi mieć już uprawnienia administratora kolekcji w DSpace.