SecureDrop Client API.download_reply() में पाथ ट्रैवर्सल (Path traversal)

यह भेद्यता एक गंभीर जोखिम प्रस्तुत करती है क्योंकि यह एक हमलावर को SecureDrop Client वर्चुअल मशीन पर अनधिकृत कोड निष्पादित करने की अनुमति दे सकती है। यह हमलावर को संवेदनशील जानकारी तक पहुंचने, सिस्टम को संशोधित करने या अन्य दुर्भावनापूर्ण गतिविधियाँ करने की अनुमति दे सकता है। चूंकि SecureDrop का उपयोग पत्रकारों द्वारा स्रोतों के साथ संवाद करने और सुरक्षित रूप से सबमिशन प्राप्त करने के लिए किया जाता है, इसलिए इस भेद्यता का शोषण पत्रकारों और उनके स्रोतों की गोपनीयता और सुरक्षा को खतरे में डाल सकता है। यह भेद्यता विशेष रूप से चिंताजनक है क्योंकि SecureDrop Workstation को सुरक्षित माना जाता है और इसे इंटरनेट पर केवल Tor छिपी सेवाओं के माध्यम से उजागर किया जाता है।

News organizations and journalists who rely on SecureDrop for secure communication with sources are at significant risk. Specifically, those using older versions of the SecureDrop Client (≤ 0.14.1) and those with configurations where the SecureDrop Server is not adequately secured are particularly vulnerable.

• linux / server: Monitor SecureDrop Server logs for unusual file access attempts or connections to the SecureDrop Client. Use journalctl -f to monitor for suspicious activity.

journalctl -f | grep "sd-app" 

• python: Examine SecureDrop Client application logs for any errors related to file path manipulation or access. • generic web: If the SecureDrop Server exposes any web interfaces, check for unusual file requests or directory traversal attempts in access logs.

1. 2025-02-13Disclosure

   disclosure

1. आरक्षित2025-01-27
2. प्रकाशित2025-02-13
3. EPSS अद्यतन2026-04-02

इस भेद्यता को कम करने का प्राथमिक तरीका SecureDrop Client को संस्करण 0.14.1 या बाद के संस्करण में अपडेट करना है। यदि तत्काल अपडेट संभव नहीं है, तो SecureDrop सर्वर और क्लाइंट के बीच संचार को सीमित करने पर विचार करें। सुनिश्चित करें कि SecureDrop सर्वर पर सख्त सुरक्षा उपाय लागू हैं, जैसे कि मजबूत प्रमाणीकरण और नियमित सुरक्षा ऑडिट। यदि संभव हो, तो SecureDrop Workstation को एक अलग नेटवर्क सेगमेंट में अलग करें। अपडेट के बाद, यह सत्यापित करें कि भेद्यता ठीक हो गई है, SecureDrop Client को नवीनतम संस्करण में अपडेट करने के बाद, यह सुनिश्चित करने के लिए कि भेद्यता ठीक हो गई है, SecureDrop सर्वर और क्लाइंट के बीच संचार की निगरानी करें।