सर्व (serve) में डायरेक्टरी ट्रैवर्सल

CVE-2019-5417 serve में हमलावरों को डायरेक्टरी ट्रावर्सल हमलों को करने की अनुमति देता है। यह फ़ाइल पथों के अपर्याप्त सत्यापन के कारण होता है, जिससे एक हमलावर अंतर्निहित ऑपरेटिंग सिस्टम पर संवेदनशील फ़ाइलों और निर्देशिकाओं तक पहुंच सकता है। एक हमलावर संभावित रूप से कॉन्फ़िगरेशन फ़ाइलों, स्रोत कोड या अन्य गोपनीय डेटा को पढ़ सकता है जो बाहरी रूप से एक्सेस नहीं किया जाना चाहिए। इस भेद्यता की गंभीरता को CVSS पैमाने पर 7.5 के रूप में रेट किया गया है, जो एक महत्वपूर्ण जोखिम दर्शाता है। फ़ाइल पथों के सैनिटाइजेशन की कमी सिस्टम को महत्वपूर्ण सुरक्षा जोखिमों के संपर्क में लाती है, खासकर उन वातावरणों में जहां serve का उपयोग अनियंत्रित स्थानों से वेब सामग्री परोसने के लिए किया जाता है।

1. आरक्षित2019-01-04
2. प्रकाशित2019-03-25
3. संशोधित2023-11-08
4. EPSS अद्यतन2026-04-02

CVE-2019-5417 को कम करने के लिए अनुशंसित समाधान serve के संस्करण को 7.1.3 या बाद के संस्करण में अपग्रेड करना है। इन संस्करणों में फिक्स शामिल हैं जो फ़ाइल पथों को मान्य और सैनिटाइज करते हैं, जिससे अनधिकृत पहुंच को रोका जा सकता है। यदि तत्काल अपग्रेड संभव नहीं है, तो संवेदनशील निर्देशिकाओं तक पहुंच को सीमित करने के लिए फ़ाइल सिस्टम पर सख्त एक्सेस नियंत्रण लागू करने की सिफारिश की जाती है। इसके अतिरिक्त, serve कॉन्फ़िगरेशन की समीक्षा और ऑडिट की जानी चाहिए ताकि यह सुनिश्चित किया जा सके कि केवल इच्छित फ़ाइलें और निर्देशिकाएं परोसी जा रही हैं। अपग्रेड सबसे प्रभावी उपाय है और इस भेद्यता से बचाने के लिए दृढ़ता से इसकी सिफारिश की जाती है।