در یک مرکز عملیات امنیت، نقش تحلیلگر معمولاً باید بتواند گزارش محیط ابری را بارگذاری کند. مشکل CoPilot این است که نام فایل ارسالی در همین گردش‌کار می‌تواند محل نوشتن روی میزبان را تعیین کند. در نسخه‌های پیش از 0.1.77 مسیر ایجاد گزارش GCP در یکپارچه‌سازی ScoutSuite، محتوای بارگذاری‌شده را به عنوان JSON بررسی می‌کند، اما نام دریافتی از درخواست را بدون اطمینان از باقی ماندن مقصد در پوشهٔ گزارش به مسیر ذخیره‌سازی می‌افزاید.
این عملیات برای نقش‌های مدیر و تحلیلگر در دسترس است. در استقرار بررسی‌شده، بخش پشتی برنامه با اختیار root اجرا می‌شد و پژوهشگر نوشتن فایل متعلق به root در بیرون پوشهٔ گزارش، از جمله در مسیر کد برنامه، را نشان داد. محتوای پذیرفته‌شده همچنان به قالب JSON محدود است. از این مشاهده نمی‌توان امکان قراردادن هر فایل اجرایی دلخواه یا افشای قطعی اطلاعات همهٔ مشتریان را نتیجه گرفت. خطر عملی مشخص، تغییر فایل خارج از محل مجاز و از کار افتادن بخشی از سامانه است.
ارزیابی و اقدام عملی
نسخهٔ 0.1.77 انتخاب نام فایل توسط تماس‌گیرنده را از مسیر متأثر حذف می‌کند. تیم بهره‌برداری باید نسخهٔ سرویس پشتی را بررسی کند، چون به‌روزرسانی رابط وب به تنهایی رفتار نویسندهٔ فایل را تغییر نمی‌دهد. پیش از ارتقا مشخص کنید کدام حساب‌ها نقش تحلیلگر یا مدیر دارند، سرویس تحت کدام هویت اجرا می‌شود و چه مسیرهایی از میزبان به آن متصل‌اند. در یک استقرار کانتینری، تفاوت میان فایل درون کانتینر و مسیر پایدار متصل از میزبان اهمیت مستقیم دارد.
برای ارزیابی پس از اصلاح، یک گزارش معتبر را با نقش مجاز بارگذاری کنید و ثبت آن را در پوشهٔ مورد انتظار ببینید. آزمون منفی را در محیط جدا با فایل بی‌ضرر انجام دهید و بررسی کنید که نام انتخاب‌شده در درخواست نمی‌تواند محل ذخیره را تعیین کند. برای بررسی گذشته، زمان بارگذاری‌ها را با تغییر فایل‌های برنامه و مسیرهای پایدار تطبیق دهید. اگر فایل غیرمنتظره پیدا شد، مالکیت، محتوا و زمان آن را ثبت کنید و پیش از جایگزینی، نسخهٔ بررسی‌پذیر نگه دارید.
امتیاز و منابع
امتیاز پایهٔ ثبت‌شده توسط GitHub_M برابر 10 در CVSS 3.1 است. بردار ارزیابی: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. تاریخ انتشار رکورد ۳۰ اکتبر ۲۰۲۶ است.
- رکورد رسمی برنامهٔ CVE
- دادهٔ رسمی مرجع صادرکننده، GitHub_M
- اطلاعیه یا سند اولیهٔ مرتبط
- اطلاعیه یا سند اولیهٔ مرتبط
تصویر همراه نشان SOCFortress برای معرفی محصول یا سازنده است.
