L'appel Koji hub n'effectue pas les vérifications d'accès correctes

L'impact de cette vulnérabilité est critique. Un attaquant exploitant cette faille peut obtenir un accès non autorisé à des données sensibles stockées sur le système de fichiers du serveur Koji, y compris des informations d'identification, des clés privées et des fichiers de configuration. Il peut également modifier ces fichiers, compromettant l'intégrité du système et potentiellement permettant une prise de contrôle complète du serveur. Cette vulnérabilité pourrait être exploitée pour compromettre l'ensemble du pipeline de construction de paquets, injectant du code malveillant dans les paquets distribués aux utilisateurs finaux. Bien qu'il n'y ait pas de rapports d'exploitation publique connus, la sévérité élevée de la vulnérabilité et la possibilité d'accès arbitraire au système de fichiers la rendent particulièrement préoccupante.

Organizations using Koji to manage RPM packages, particularly those running older, unpatched versions (≤1.15.0), are at significant risk. Shared hosting environments where Koji instances are deployed alongside other applications are also vulnerable, as a compromise of Koji could potentially impact other services.

• linux / server:

journalctl -u koji | grep -i "access denied"

• python:

import os
# Check for unusual file permissions in Koji's data directory
for root, dirs, files in os.walk('/path/to/koji/data'): # Replace with actual path
    for file in files:
        filepath = os.path.join(root, file)
        if os.access(filepath, os.W_OK):
            print(f"Warning: Writeable file found: {filepath}")

1. 2018-07-12Disclosure

   disclosure

1. Publiée2018-07-12
2. Modifiée2025-02-18
3. EPSS mis à jour2026-04-02

La mitigation principale consiste à mettre à jour Koji vers une version corrigée (1.12.1, 1.13.1, 1.14.1 ou 1.15.1). Si la mise à jour n'est pas immédiatement possible, une solution temporaire consiste à restreindre les permissions d'accès aux répertoires sensibles sur le serveur Koji. Il est également recommandé de mettre en place une surveillance accrue des accès aux fichiers et de configurer des alertes en cas d'activité suspecte. En cas d'exploitation, une analyse forensique approfondie du système est nécessaire pour identifier et supprimer tout code malveillant injecté. Après la mise à jour, vérifiez l'intégrité des fichiers système et des paquets construits pour confirmer l'absence de compromission.