ثغرة حقن وسائط في خوارزمية ضغط النسخ الاحتياطي في LXD تؤدي إلى AFW وACE
أُبلغ من الملخص يؤدي التحقق غير السليم من خوارزمية ضغط النسخ الاحتياطي المقدَّمة من المستخدم إلى حقن وسائط في سطر الأوامر المُنشأ. ويؤدي ذلك إلى كتابة ملف عشوائي على المضيف، مما قد يؤدي إلى تنفيذ أوامر عشوائي. التفاصيل يتحق
مصدر واحد حتى الآن — تحقّق من المصدر الأصلي. Single source so far — check the original source. حالة التحقق Verification status ملخص الثغرة Vulnerability summary ملخص المصدر (GitHub Global Security Advisories): Source summary (GitHub Global Security Advisories): ثغرة في LXD ناتجة عن تحقق غير سليم من خوارزمية ضغط النسخ الاحتياطي المقدَّمة من المستخدم، ما يؤدي إلى حقن وسائط في سطر الأوامر المُنشأ. يتحقق Incus من compression_algorithm عبر تحليلها إلى حقول وفحص الرمز الأول فقط مقابل قائمة مسموحة. قد يتيح ذلك كتابة ملف عشوائية على المضيف وربما تنفيذ أوامر عشوائية. لا تتضمن المصادر معرّفات CVE. LXD has a vulnerability from improper validation of the user-provided backup compression algorithm, leading to argument injection in the constructed command line. Incus validates compression_algorithm by parsing it into fields and checking only the first token against an allowlist. This can lead to arbitrary file write on the host, possibly leading to arbitrary command execution. The facts list no CVE ids. الإرشادات أدناه عامة وتعليمية، وليست تفاصيل خاصة بهذه الحادثة. The guidance below is general and educational — not details of this specific incident. حدّد الأنظمة التي تستخدم المنتج المتأثر. Identify systems running the affected product. طبّق تحديث المورّد أو إجراءات التخفيف الرسمية. Apply the vendor update or official mitigations. أعطِ الأولوية لما هو مُدرج في KEV أو ذو EPSS مرتفع. Prioritise KEV-listed or high-EPSS items. راقب السجلات بحثًا عن مؤشرات استغلال. Monitor logs for signs of exp