CVE-2026-77763 Juicedata — эксплойт и детали уязвимости HIGH

Параметр	Значение
CVSS	7,1 (HIGH)
Уязвимые версии	до 1.4.1
Тип уязвимости	CWE-22 (Обход пути)
Поставщик	Juicedata
Публичный эксплойт	Нет

Серверная часть хранилища файлов в pkg/object/file.go, используемая для хранилищ file:// и в качестве общего места назначения синхронизации Juicefs, получала цель каждой операции из path(key), который возвращал либо filepath.Join(d.root, key), либо filepath.Clean(d.root + key) без проверки того, что результат остался ниже корня. Put, Get, Head, Delete, Chmod, Chown, Symlink и Readlink напрямую используют это значение. Ключи объекта, перечисленные из исходного хранилища объектов во время синхронизации, не ограничены так, как имена локальных файловых систем, поэтому ключ, содержащий сегменты обхода, заставляет Juicefs записывать предоставленный злоумышленником контент по пути за пределами предполагаемого локального места назначения, и ошибка не возвращается.

Таким образом, оператор, синхронизирующийся из корзины, содержимое которой он не полностью контролирует, например, общей или общедоступной корзины или корзины, в которую может писать злоумышленник, подвергается записи в файл в расположении, находящемся под влиянием злоумышленника. Исправление изменяет path(), чтобы он возвращал ошибку, и отклоняет любой ключ, разрешенный путь которого выходит за пределы корня.

Показать оригинальное описание (EN)

The filestore backend in pkg/object/file.go, used for file:// stores and as a common juicefs sync destination, derived every operation's target from path(key), which returned either filepath.Join(d.root, key) or filepath.Clean(d.root + key) with no check that the result stayed beneath the root. Put, Get, Head, Delete, Chmod, Chown, Symlink and Readlink all consumed that value directly. Object keys enumerated from a source object store during a sync are not constrained the way local filesystem names are, so a key containing traversal segments causes juicefs to write attacker-supplied content to a path outside the intended local destination, and no error is returned. An operator syncing from a bucket whose contents they do not fully control, such as a shared or public bucket or one an attacker can write to, is therefore exposed to a file write at an attacker-influenced location. The fix changes path() to return an error and rejects any key whose resolved path escapes the root.