Koji hub call voert geen correcte toegangscontroles uit

De impact van deze kwetsbaarheid is significant. Een succesvolle exploitatie stelt een aanvaller in staat om willekeurige bestanden op het systeem te lezen en te schrijven. Dit kan leiden tot het compromitteren van gevoelige data, het manipuleren van build-processen, en het verkrijgen van controle over het systeem. Aangezien Koji wordt gebruikt in kritieke infrastructuur voor het bouwen en distribueren van software, kan dit de integriteit van de software-supply chain in gevaar brengen. De mogelijkheid om willekeurige bestanden te schrijven, opent de deur naar het uitvoeren van code op het systeem, wat de impact verder vergroot.

Organizations using Koji to manage RPM packages, particularly those running older, unpatched versions (≤1.15.0), are at significant risk. Shared hosting environments where Koji instances are deployed alongside other applications are also vulnerable, as a compromise of Koji could potentially impact other services.

• linux / server:

journalctl -u koji | grep -i "access denied"

• python:

import os
# Check for unusual file permissions in Koji's data directory
for root, dirs, files in os.walk('/path/to/koji/data'): # Replace with actual path
    for file in files:
        filepath = os.path.join(root, file)
        if os.access(filepath, os.W_OK):
            print(f"Warning: Writeable file found: {filepath}")

1. 2018-07-12Disclosure

   disclosure

1. Gepubliceerd2018-07-12
2. Gewijzigd2025-02-18
3. EPSS bijgewerkt2026-04-02

De primaire mitigatie is het upgraden naar Koji versie 1.15.1 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan het implementeren van strikte toegangscontrolemaatregelen op het bestandssysteem om ongeautoriseerde toegang te beperken. Dit kan worden bereikt door het configureren van de Koji-installatie met de minimale benodigde rechten. Controleer ook of de Koji-service draait onder een account met beperkte privileges. Na de upgrade, verifieer de fix door te proberen toegang te krijgen tot bestanden buiten de toegestane directory's met een gebruiker die geen administratorrechten heeft.