Hermes WebUI工作区文件列表API路径遍历漏洞

漏洞概述 漏洞名称: Workspace symlink escape through filelist APIs 漏洞描述: 工作区路径解析允许符号链接解析到工作区根目录之外的路径，除非它们匹配一个小系统目录白名单。工作区文件列表助手信任解析后的路径，通过 返回。工作区内的符号链接可以指向工作区外的文件，导致文件API泄露工作区外的文件内容。回归测试覆盖了符号链接循环和不可访问的系统路径，但一般解析路径包含不变量。 影响范围 影响: 包含指向外部目录的符号链接的工作区可能允许只读列出或泄露工作区外的文件内容，通过正常的工作区文件API流。 严重性: 中等，通常在部署中，恶意工作区可以被选择，Web UI 暴露给另一个用户/会话。 修复方案 修复前: - 工作区路径解析允许符号链接解析到工作区根目录之外的路径，除非它们匹配一个小系统目录白名单。 - 工作区文件列表助手信任解析后的路径，通过 返回。 - 工作区内的符号链接可以指向工作区外的文件，导致文件API泄露工作区外的文件内容。 - 回归测试覆盖了符号链接循环和不可访问的系统路径，但一般解析路径包含不变量。 修复后: - 解析工作区根和请求路径。 - 解析后的请求路径必须保持在解析后的工作区根下。 - 外部符号链接遍历现在抛出 在文件列表助手之前。 - 内部符号链接仍然在工作区内解析，继续工作。 - 新的回归测试锁定外部符号链接拒绝和内部符号链接兼容性。 POC代码 其他关键信息 CVSS评估: - 问题: Workspace symlink escape through filelist APIs - CVSS v3.1: 6.5 Medium generally; up to 8.1 High under malicious-workspace/exposed-Web-UI assumptions - 向量: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:N 根因: - 工作区符号链接通过文件列表API逃逸： - 解析请求的工作区路径，但不要求解析后的目标保持在解析后的工作区根下。 - 之前的守卫依赖于遍历检查加上一个小系统目录白名单，比实际选择的工作区边界更窄。 - 路由助手使用解析后的路径继承更广泛而非预期的信任决策。 修复合理性: - 选择的工作区根是持久的安全边界。仅对几个系统路径的白名单是不够的，因为任意外部目录仍可能包含敏感的项目、用户或机器本地文件。比较解析后的请求路径与解析后的工作区根处理正常 遍历和符号链接遍历，同时保持工作区内的符号链接。 变更类型: - 安全修复 - 测试 - 文档更新 - 重构，无行为变更 测试计划: - - - 合同路由: - 合同家族：工作区文件列表路径包含。 - 证据：聚焦的工作区符号链接包含测试加上现有工作区目录签名覆盖。 - 此行为变化为外部符号链接在工作区内选择：它们现在被阻止而不是跟随。这是故意的，因为选择的工作区根是安全边界。 AI辅助披露: - AI辅助用于检查代码路径，准备聚焦补丁，并起草此PR描述。未包含凭据、生产密钥或私有文件。 披露说明: - 声明仅限于只读外部工作区列出/文件泄露通过工作区文件API。 - 未声称写入/删除/RCE影响。 - 未声称应用原生符号链接种植原语。 - 证明和测试使用临时路径/标记文件，而非真实密钥。 - 此PR有意局限于解析路径包含，为选择的工作区边界。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

Hermes WebUI工作区文件列表API路径遍历漏洞

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Hermes WebUI工作区文件列表API路径遍历漏洞

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！