pwmlift 文件上传漏洞:符号链接与TOCTOU致任意文件写入

漏洞概述 漏洞名称: pwmlift 文件上传处理程序允许任意文件写入（CWE-367） 漏洞描述: pwmlift 是一个小型 .NET Blazor 文件上传服务器。当以 elevated privileges 运行时，其上传处理程序允许本地用户通过符号链接跟随（CWE-59）和 TOCTOU 竞争条件（CWE-367）以 root 权限写入任意文件。 初始修复: 初始修复（e3eddc）添加了 ReparsePoint 检查作为防御措施，但未完全解决漏洞。 最终修复: 最终修复（d7a544b9）通过替换 为 来锚定上传目录到应用程序安装目录，并强制执行路径 containment 检查。 影响范围 受影响组件: pwmlift/Components/Pages/Home.razor 受影响版本: 211f2b3 (2023-08-29) CVSS 评分: 7.8 (High) CVSS 向量: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H 修复方案 修复措施: - 替换 为 来锚定上传目录到应用程序安装目录。 - 强制执行路径 containment 检查，使用 而不是 。 - 保留 ReparsePoint 检查作为深度防御。 - 确保应用程序目录和上传目录由非特权用户所有和运行。 - 如果上传已存在为符号链接，则删除并重新创建为真实目录，然后再应用所有权更改。 POC 代码 其他信息 披露时间线: - 2026-04-30: 正常实验室使用期间观察到特权部署。 - 2026-05-07: 与上游维护者首次联系。 - 2026-05-08: 在本地测试中重现端到端问题，报告给上游维护者和下游部署运营商。 - 2026-05-12: 上游修复（e3eddc）与报告者信用合并。 - 2026-05-19: 下游运营商因范围问题拒绝 CVE。 - 2026-05-20: 重现 TOCTOU 绕过并报告给维护者。 - 2026-05-22: 下游运营商确认补丁已应用，符号链接已删除。 - 2026-05-30: 通过 GHSA 请求 CVE。 - 2026-06-09: GHSA 拒绝 CVE 请求。 - 2026-06-09: GHSA 重新审查请求。 - 2026-06-15: CVE 请求提交给 MITRE。 - 2026-06-18: 最终修复合并到上游；CVE 通过 GHSA 重新请求。 - 2026-06-22: GHSA 发布没有 CVE 的 advisory。 当前状态: - 下游部署：已修补（符号链接条目已删除，2026年5月28日）。 - 上游最终修复：已合并。 - CVE：待定（MITRE 请求，2026年6月15日）。 参考链接: - [1] https://github.com/rasta-mouse/pwmlift - [2] https://github.com/rasta-mouse/pwmlift/commit/e3eddcadca42b3e9c69f2d7aae24d6c82e27a5a2 - [3] https://github.com/rasta-mouse/pwmlift/commit/d7a544b90ee1ead0bc1529286885f6187afbbad - [4] https://github.com/rasta-mouse/pwmlift/security/advisories/GHSA-2v7v-rhpw-h9w4 - [5] https://github.com/advisories/security/advisories - [6] https://payloadforge.io/beyond-crt-pwmlift/ 信用: - 发现者：Greg Durys - 链接：https://github.com/GregDurys 其他: - 由 bliss - more mailing lists 提供。 - 请查看 Open Source Software Security Wiki，这是该邮件列表的对应物。 - 对邮件列表及其用途感到困惑？阅读 Wikipedia 上的邮件列表文章，并查看这些关于正确格式化消息的指南。

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

pwmlift 文件上传漏洞:符号链接与TOCTOU致任意文件写入

目标达成感谢每一位支持者 — 我们达成了 100% 目标！