Pfadmanipulations-Schwachstelle in Big Data Engine Netflix Genie

Eine kritische Sicherheitslücke wurde in der Big Data Orchestrierungs-Software Genie von Netflix entdeckt, die sich auf alle Versionen vor 4.3.18 erstreckt. Die Schwachstelle CVE-2024-4701, betrifft die Handhabung von Datei-Uploads innerhalb der Anwendung und wurde mit einem kritischen Schweregrad von 9.9 / 10 bewertet.
Die Sicherheitslücke ermöglicht es, durch speziell präparierte Dateiuploads, beliebige Dateien an jedem Ort im Dateisystem zu speichern, auf den der Java-Prozess Schreibzugriff hat. Diese Path Traversal Schwachstelle kann dazu führen, dass ein Angreifer remote Code auf dem Server ausführt (Remote Code Execution, RCE).
Nutzer von Genie OSS, die ihre eigene Instanz betreiben und das Dateisystem zur Speicherung von Dateianhängen nutzen, die an die Genie-Anwendung gesendet werden, könnten von dieser Schwachstelle betroffen sein. Benutzer, die diese Anhänge nicht lokal auf dem zugrunde liegenden Dateisystem speichern, sind von diesem Problem nicht betroffen.

Die API von Genie akzeptiert Dateiuploads im multipart/form-data-Format, die auf der Festplatte gespeichert werden können. Hierbei wird der vom Benutzer bereitgestellte Dateiname verwendet, was Manipulationen des Dateinamens ermöglicht und somit Pfadmanipulationen zulässt.

Die Entwickler von Genie haben die Schwachstelle in der Version 4.3.18 behoben. Es wird dringend empfohlen, alle Instanzen von Genie OSS auf diese neue Version zu aktualisieren, um sich vor möglichen Angriffen zu schützen.