Podatności Gleam

W narzędziu Gleam wykryto podatność polegającą na niewystarczającej weryfikacji autentyczności danych. Podczas rozwiązywania zależności atakujący typu man-in-the-middle może podmienić zawartość pakietów Hex na sfałszowane, ponieważ drugie żądanie do API Hex nie jest podpisane, a jego odpowiedź jest używana zamiast zweryfikowanych metadanych z repozytorium.

Podatność typu path traversal w menedżerze zależności Gleam (wersje od 0.18.0-rc1 do 1.17.0) pozwala na usunięcie dowolnego katalogu poprzez złośliwą zawartość pliku build/packages/packages.toml. Klucze pakietów są używane bez walidacji do konstruowania ścieżek, co umożliwia użycie sekwencji ../ do wyjścia poza zamierzony katalog.

Podatność związana z podążaniem za dowiązaniami symbolicznymi w eksporcie pakietów Hex w Gleam umożliwia osadzenie plików spoza katalogu projektu w generowanym archiwum pakietu. Funkcje zbierające pliki (gleam_files, native_files, private_files) używają follow_links(true) podczas przeszukiwania katalogów publikowalnych, a dodawanie ścieżek do archiwum nie weryfikuje, czy rozpoznany cel pozostaje w obrębie katalogu projektu.

Podatność path traversal w obsłudze niestandardowych stron dokumentacji w Gleam (wersje od 1.16.0 do 1.17.0) pozwala na odczyt i zapis plików poza zamierzonym katalogiem wyjściowym dokumentacji. Pola documentation.pages[].path i .source są używane bez wystarczającej walidacji.

W kompilatorze Gleam wykryto podatność polegającą na nieprawidłowej walidacji ścieżek podczas obsługi zależności git. Nazwy zależności z plików gleam.toml i manifest.toml są używane do tworzenia ścieżek bez wystarczającego zabezpieczenia, co pozwala na manipulację ścieżką (np. ../) i dostęp do plików poza docelowym katalogiem zależności. Atakujący może wykorzystać złośliwą zależność do usunięcia lub nadpisania dowolnych katalogów, a w niektórych środowiskach doprowadzić do wykonania kodu.