Unstructured heeft Path Traversal via een kwaadaardige MSG-bijlage die willekeurig bestands schrijven mogelijk maakt

Een aanvaller kan een kwaadaardig .msg bestand creëren met attachment bestandsnamen die path traversal sequences bevatten, zoals ../../../etc/cron.d/malicious. Wanneer deze bestanden verwerkt worden met process_attachments=True, schrijft de bibliotheek de attachment naar een door de aanvaller gecontroleerde locatie. Dit kan leiden tot verschillende ernstige gevolgen, waaronder het overschrijven van willekeurige bestanden op het systeem. In het bijzonder kan dit gebruikt worden om configuratiebestanden of cron-jobs te overschrijven, wat resulteert in remote code execution. De impact is significant, aangezien een succesvolle exploit volledige controle over het getroffen systeem kan opleveren. Dit is vergelijkbaar met exploits die gebruik maken van onvoldoende validatie van gebruikersinvoer om toegang te krijgen tot gevoelige systeembestanden.

Organizations and developers using the unstructured Python library to process email attachments, particularly those handling untrusted email sources, are at significant risk. Systems with older versions of the library (≤0.9.3) and those lacking robust input validation are especially vulnerable. Shared hosting environments where multiple applications share the same filesystem are also at increased risk.

• python / server:

import os
import hashlib

def check_attachment_filename(filename):
    # Check for path traversal sequences
    if "../" in filename:
        print(f"Potential path traversal detected in filename: {filename}")
        return True
    return False

# Example usage
filename = "../../../etc/cron.d/malicious.txt"
if check_attachment_filename(filename):
    print("Malicious filename detected!")

1. 2026-02-03Disclosure

   disclosure

1. Gereserveerd2025-11-10
2. Gepubliceerd2026-02-03
3. Gewijzigd2026-02-10
4. EPSS bijgewerkt2026-03-23

De primaire mitigatie is het upgraden van de unstructured Python bibliotheek naar versie 0.18.18 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan tijdelijke workarounds zoals het uitschakelen van de process_attachments=True optie, wat de functionaliteit beperkt maar het risico op path traversal vermindert. Implementeer een Web Application Firewall (WAF) of proxy om inkomende MSG-bestanden te inspecteren op verdachte path traversal sequences. Monitor logbestanden op ongebruikelijke bestandstoegangsactiviteit, met name schrijfbewerkingen naar onverwachte locaties. Het is belangrijk om te verifiëren dat de upgrade succesvol is door een testbestand met een path traversal sequence te proberen te verwerken na de upgrade; dit bestand zou niet moeten worden geschreven naar een ongewenste locatie.