CVE-2026-103870: уязвимость в pulp-rpm позволяет создавать каталоги за пределами рабочей области
В pulp-rpm обнаружена уязвимость среднего уровня опасности (CVSS 5.0), связанная с публикацией дерева дистрибутива. Идентификаторы addon и variant из файла .treeinfo используются как имена каталогов, что позволяет пользователю с правом синхронизации или загрузки дерева создавать директории за пределами рабочей области задачи. Затрагивает Red Hat Satellite 6 и Red Hat Update Infrastructure 4 и 5 для облачных провайдеров.
Подробности
Уязвимость возникает в момент публикации distribution tree. Значения полей addon и variant, извлекаемые из файла .treeinfo, используются напрямую как имена создаваемых каталогов без должной проверки пути. В результате пользователь, обладающий возможностью синхронизировать или загружать такое дерево, может заставить задачу публикации создать новый каталог за пределами рабочей области задачи и записать туда метаданные репозитория и пакеты этого дерева. Все операции выполняются с правами пользователя Pulp worker. Согласно описанию, существующий файл или каталог при этом не перезаписывается — уязвимость не позволяет подменить уже имеющиеся данные. Также отмечается, что недостаток не приводит к раскрытию информации и не останавливает работу сервиса. Уровень опасности по шкале CVSS оценивается в 5.0 (MEDIUM). Уязвимы следующие продукты: - Red Hat Satellite 6; - Red Hat Update Infrastructure 4 for Cloud Providers; - Red Hat Update Infrastructure 5. Затрагивается функциональность pulp-rpm, входящая в состав перечисленных решений.Что делать
Основная рекомендация — отслеживать выпуск обновлений от Red Hat и установить исправленные версии затронутых продуктов (Satellite 6, Red Hat Update Infrastructure 4 и 5) сразу после их публикации. Поскольку официальные данные о конкретных версиях с исправлением в записи CVE не приводятся, актуальную информацию о доступных патчах следует уточнять в рекомендациях производителя. В качестве временных мер защиты до установки обновления целесообразно ограничить круг пользователей, имеющих право синхронизировать или загружать деревья дистрибутивов, поскольку эксплуатация требует именно таких привилегий. Также имеет смысл контролировать содержимое файлов .treeinfo, попадающих в систему из внешних или недоверенных источников, и проверять права пользователя, под которым работает Pulp worker, чтобы минимизировать возможные последствия записи за пределами рабочей области. Итог: CVE-2026-103870 — уязвимость среднего уровня в pulp-rpm, позволяющая при определённых правах создавать каталоги вне рабочей области задачи публикации. Прямой угрозы раскрытия данных или отказа сервиса нет, однако возможна запись метаданных и пакетов в неожиданные места файловой системы. Рекомендуется своевременно устанавливать обновления и ограничивать права на операции с деревьями дистрибутивов.Источник: CVE Project (cvelistV5)