Podatności melange

W narzędziu melange w wersjach od 0.32.0 do przed 0.43.4 opcja --persist-lint-results buduje ścieżki plików wyjściowych z wartości arch i pkgname odczytanych z pliku .PKGINFO bez walidacji separatorów ścieżek ani sekwencji '..'. Atakujący dostarczający APK do pipeline'u lint/build może spowodować zapis pliku JSON raportu w dowolnej ścieżce osiągalnej przez proces melange. Nie ma bezpośredniej ścieżki wykonania kodu, ale można nadpisać inne artefakty JSON. Problem naprawiono w wersji 0.43.4.

melange (narzędzie do budowania pakietów apk z użyciem deklaratywnych pipeline'ów) w wersjach od 0.32.0 do przed 0.43.4 pozwala atakującemu wpływającemu na plik konfiguracyjny melange ustawić pipeline[].uses na wartość zawierającą sekwencje ../ lub ścieżkę absolutną. Funkcja (*Compiled).compilePipeline w pkg/build/compile.go przekazywała uses bezpośrednio do filepath.Join(pipelineDir, uses + ".yaml") bez walidacji, więc rozwiązana ścieżka mogła wyjść poza --pipeline-dir i odczytać dowolny plik YAML widoczny dla procesu melange. Ponieważ ładowany plik jest interpretowany jako pipeline melange, a jego blok runs: jest wykonywany przez /bin/sh -c w sandboxie budowania, umożliwiało to uruchomienie poleceń powłoki z pliku spoza drzewa, omijając przegląd. Naprawiono w melange v0.43.4 (commit 5829ca4).

Melange w wersji 0.40.5 i wcześniejszych pobiera URI z konfiguracji budowania za pomocą io.Copy bez ograniczenia rozmiaru lub limitu czasu klienta HTTP. Atakujący może kontrolować URI w konfiguracji melange, co prowadzi do nieograniczonego zapisu na dysku i wyczerpania miejsca na serwerze budowania.