Vulnerabilidade de Traversal de Caminho em Aim

Um atacante pode explorar esta vulnerabilidade para obter acesso não autorizado e excluir arquivos críticos no sistema onde o aimhubio/aim está instalado. A exclusão de arquivos de configuração, logs ou dados de aplicação pode levar à interrupção do serviço, perda de dados e comprometimento da integridade do sistema. A ausência de validação adequada do glob-pattern permite que o atacante ignore as restrições de diretório, ampliando o potencial de dano. A gravidade da vulnerabilidade é alta, considerando o potencial de impacto e a relativa facilidade de exploração.

Organizations and individuals utilizing aimhubio/aim versions 3.22.0 and earlier, particularly those running the tracking server in environments with limited access controls or where the file cleanup functionality is enabled without proper validation, are at significant risk. Shared hosting environments where multiple users have access to the aimhubio/aim installation are also particularly vulnerable.

• python / server:

import os
import glob

def check_file_deletion(directory, pattern):
    try:
        files = glob.glob(os.path.join(directory, pattern))
        for file in files:
            if not file.startswith(directory):
                print(f"Potential Path Traversal: File {file} outside of directory {directory}")
    except Exception as e:
        print(f"Error during glob check: {e}")

# Example usage (replace with actual directory and pattern)
directory = '/path/to/aimhubio/aim/data' # Replace with the actual data directory
patter = '*/temp/*' # Replace with the pattern being used
check_file_deletion(directory, pattern)

1. 2025-03-20Disclosure

   disclosure

1. Reservado2024-07-17
2. Publicada2025-03-20
3. Modificada2025-03-21
4. EPSS atualizado2026-04-02

Como a correção oficial ainda não foi lançada, a mitigação imediata envolve a restrição do acesso à função LocalFileManager._cleanup ou a implementação de validação rigorosa dos glob-patterns fornecidos pelo usuário. Considere desabilitar temporariamente a função se não for essencial. Implemente regras de firewall ou WAF para bloquear requisições suspeitas que tentem manipular o glob-pattern. Monitore os logs do sistema em busca de atividades anormais relacionadas à exclusão de arquivos. Após a disponibilização da versão corrigida, atualize o aimhubio/aim imediatamente.