lakeFS kwetsbaar voor padtraversering in de lokale blokadapter, waardoor toegang tot cross-namespace en sibling directories mogelijk is in github.com/treeverse/lakefs

De Path Traversal kwetsbaarheid in lakeFS maakt het mogelijk voor een aanvaller om de toegang tot het bestandssysteem te omzeilen en bestanden buiten de toegestane directory's te benaderen. Dit kan leiden tot het lezen, wijzigen of verwijderen van gevoelige data, afhankelijk van de permissies van de gebruiker die de aanval uitvoert. In een scenario waarin lakeFS wordt gebruikt voor het opslaan van configuratiebestanden of andere kritieke data, kan een succesvolle exploit leiden tot een compromittering van de gehele applicatie. De impact kan verder reiken als lakeFS wordt geïntegreerd met andere systemen, waardoor een aanvaller mogelijk toegang kan krijgen tot andere gevoelige omgevingen via deze kwetsbaarheid. Dit is vergelijkbaar met andere path traversal kwetsbaarheden waarbij de toegang tot gevoelige data wordt verkregen door het manipuleren van paden.

Organizations using lakeFS for data lake management, particularly those with multi-tenant deployments or shared namespaces, are at increased risk. Legacy lakeFS configurations with relaxed access controls are also more vulnerable. Teams relying on lakeFS for sensitive data storage should prioritize patching.

• go / application: Inspect lakeFS configuration files for unusual path entries. Monitor lakeFS logs for suspicious file access attempts, particularly those involving .. sequences.

find /opt/lakefs/ -path "*/..*" -print

• generic web: Monitor access logs for requests containing path traversal sequences (e.g., ../../../../etc/passwd). • generic web: Check response headers for unexpected file disclosures. • generic web: Use curl to probe for directory traversal:

curl -v 'http://your-lakefs-instance/../../../../etc/passwd' 2>&1 | grep 'HTTP/1.1 200 OK'

1. 2026-02-17Disclosure

   disclosure

1. Gereserveerd2026-02-11
2. Gepubliceerd2026-02-17
3. Gewijzigd2026-02-19
4. EPSS bijgewerkt2026-03-23

De primaire mitigatie voor CVE-2026-26187 is het upgraden naar lakeFS versie 1.77.0 of hoger. Indien een upgrade direct niet mogelijk is, overweeg dan het implementeren van restrictieve toegangscontroles op het bestandssysteem om de impact van een potentiële exploit te beperken. Configureer een Web Application Firewall (WAF) om verdachte padmanipulatie te detecteren en te blokkeren. Monitor logbestanden op ongebruikelijke padtoegangsverzoeken. Na de upgrade, verifieer de correcte werking van de applicatie en controleer de toegangscontroles om er zeker van te zijn dat de kwetsbaarheid is verholpen.