Traversée de chemin dans SecureDrop Client API.download_reply()

L'exploitation réussie de cette vulnérabilité permet à un attaquant de contourner les mécanismes de sécurité et d'accéder à des fichiers sensibles sur la machine virtuelle SecureDrop Client. L'attaquant pourrait potentiellement exécuter du code arbitraire, compromettant ainsi la confidentialité et l'intégrité des données soumises par les sources. Le risque est particulièrement élevé car SecureDrop est conçu pour protéger les communications sensibles et les documents confidentiels. Bien que le serveur SecureDrop lui-même soit fortement sécurisé, cette vulnérabilité dans le client introduit une voie d'attaque potentielle.

News organizations and journalists who rely on SecureDrop for secure communication with sources are at significant risk. Specifically, those using older versions of the SecureDrop Client (≤ 0.14.1) and those with configurations where the SecureDrop Server is not adequately secured are particularly vulnerable.

• linux / server: Monitor SecureDrop Server logs for unusual file access attempts or connections to the SecureDrop Client. Use journalctl -f to monitor for suspicious activity.

journalctl -f | grep "sd-app" 

• python: Examine SecureDrop Client application logs for any errors related to file path manipulation or access. • generic web: If the SecureDrop Server exposes any web interfaces, check for unusual file requests or directory traversal attempts in access logs.

1. 2025-02-13Disclosure

   disclosure

1. Réservé2025-01-27
2. Publiée2025-02-13
3. EPSS mis à jour2026-04-02

La mitigation principale consiste à mettre à jour SecureDrop Client vers la version 0.14.1 ou supérieure. En attendant la mise à jour, il n'existe pas de contournement direct efficace pour empêcher l'exploitation de cette vulnérabilité. Il est crucial de surveiller attentivement les journaux du serveur SecureDrop pour détecter toute activité suspecte. Une segmentation réseau stricte entre le serveur et le client peut également limiter l'impact d'une exploitation réussie. Après la mise à jour, vérifiez l'intégrité des fichiers du client et assurez-vous que la version corrigée est bien installée.