CVE-2026-90959: обход allowlist схемы file:// в pulpcore ведёт к чтению произвольных файлов и краже ключей подписи
В pulpcore обнаружена уязвимость обхода проверки схемы URL в поле file_url при загрузке контента. Аутентифицированный пользователь с низкими привилегиями репозитория может читать произвольные файлы сервера Pulp, а в развёртываниях с Pulp Container — похитить приватный ключ подписи токенов реестра контейнеров. Критичность высокая — CVSS 8.1.
Подробности
Уязвимость затрагивает API загрузки контента pulpcore, который принимает параметр file_url. Этот параметр позволяет пользователям с привилегиями файлового репозитория указать локальный URL файла, который Pulp должен скачать и сохранить. Проверка схемы URL реализована через сравнение строкового префикса: отклоняются только URL, начинающиеся с «file://». Однако URL-парсер Python распознаёт схему «file:» и без двойной косой черты, что создаёт расхождение между проверяемым значением и тем, что фактически передаётся загрузчику файлов. В результате аутентифицированный пользователь с низкопривилегированными правами на репозиторий может передать специально сформированный URL с последовательностями обхода относительных путей и прочитать любой файл, доступный процессу сервера Pulp. В развёртываниях, включающих Pulp Container, успешная эксплуатация позволяет атакующему прочитать приватный ключ подписи токенов реестра контейнеров и подделывать bearer-токены. Это открывает несанкционированный доступ ко всем приватным репозиториям контейнеров в затронутом реестре. Уязвимы следующие продукты: Red Hat Ansible Automation Platform 2, Red Hat Satellite 6, Red Hat Update Infrastructure 4 for Cloud Providers и Red Hat Update Infrastructure 5.Что делать
Рекомендуется как можно скорее применить обновления pulpcore, выпущенные производителем для устранения данной уязвимости. Проверьте наличие патчей для ваших версий Red Hat Ansible Automation Platform, Red Hat Satellite и Red Hat Update Infrastructure и следуйте официальным инструкциям по обновлению. Если немедленное обновление невозможно, рассмотрите временные меры: ограничьте права пользователей на файловые репозитории, ужесточите контроль доступа к API загрузки контента и, где это применимо, ограничьте сетевой доступ к интерфейсам Pulp. Для развёртываний с Pulp Container следует считать приватный ключ подписи токенов реестра скомпрометированным при наличии признаков эксплуатации и выполнить его ротацию. Итог: CVE-2026-90959 — серьёзная уязвимость обхода проверки схемы URL, позволяющая читать произвольные файлы и, в случае Pulp Container, подделывать токены доступа к приватным реестрам. Приоритет — оперативное обновление и проверка прав доступа.Источник: CVE Project (cvelistV5)