关键信息 提交ID: 9dc798c 提交者: xpivarc 和 kubevirt-bot 提交时间: 2022年8月5日 提交信息： - 主题: Host-disk & PVC: Contain disk inside volume - 描述: 为了应对不可信的启动器，需要使用安全路径来包含磁盘。 受影响文件: - pkg/host-disk/BUILD.bazel (56行增加, 23行删除) - pkg/host-disk/host-disk.go (46行增加, 20行删除) - pkg/host-disk/host-disk_test.go (9行增加, 3行删除) 更改摘要: - 主要修改点在于使用安全路径(safepath)而非直接使用路径来处理磁盘操作，避免潜在的路径相关的安全漏洞或错误。 - 引入了对磁盘名称的校验，确保磁盘名称为基本名称，防止可能导致的安全问题。 - 使用 方法来处理路径拼接，更加安全和可靠。 - 修改了磁盘创建和处理函数签名，增加了对路径的检查，并将潜在的不安全操作替换为安全操作。 - 在测试代码中，引入了安全路径处理，并调整了文件和目录创建的逻辑。 漏洞相关 从这些修改中可以看出，之前可能存在以下漏洞风险： 路径遍历漏洞: 由于缺乏路径校验和安全处理，攻击者可能通过构造恶意路径访问不应访问的文件或目录。 权限绕过: 在进行磁盘操作时，未对路径进行充分检查，可能导致对敏感文件的不当访问。 安全代码实践不足: 未使用安全路径处理函数，存在引入潜在安全问题的风险。 通过此次提交，这些问题得到了修正和改善。