lakeFS vulnerável a path traversal no adaptador de bloco local permite acesso entre namespaces e diretórios irmãos em github.com/treeverse/lakefs

A vulnerabilidade de Path Traversal em lakeFS permite que um atacante contorne as restrições de acesso e acesse arquivos e diretórios que não deveriam estar acessíveis. Isso pode levar à exposição de informações sensíveis, como credenciais de acesso, dados de configuração ou informações confidenciais armazenadas no sistema. Um atacante pode explorar essa falha para ler, modificar ou até mesmo excluir dados, comprometendo a integridade e a confidencialidade do ambiente lakeFS. A exploração bem-sucedida pode permitir o acesso a dados em diferentes namespaces e diretórios irmãos, ampliando o potencial impacto. A ausência de validação adequada de caminhos de arquivo possibilita a manipulação de solicitações para acessar recursos fora do diretório esperado.

Organizations using lakeFS for data lake management, particularly those with multi-tenant deployments or shared namespaces, are at increased risk. Legacy lakeFS configurations with relaxed access controls are also more vulnerable. Teams relying on lakeFS for sensitive data storage should prioritize patching.

• go / application: Inspect lakeFS configuration files for unusual path entries. Monitor lakeFS logs for suspicious file access attempts, particularly those involving .. sequences.

find /opt/lakefs/ -path "*/..*" -print

• generic web: Monitor access logs for requests containing path traversal sequences (e.g., ../../../../etc/passwd). • generic web: Check response headers for unexpected file disclosures. • generic web: Use curl to probe for directory traversal:

curl -v 'http://your-lakefs-instance/../../../../etc/passwd' 2>&1 | grep 'HTTP/1.1 200 OK'

1. 2026-02-17Disclosure

   disclosure

1. Reservado2026-02-11
2. Publicada2026-02-17
3. Modificada2026-02-19
4. EPSS atualizado2026-03-23

A mitigação primária para a vulnerabilidade CVE-2026-26187 é atualizar para a versão 1.77.0 do lakeFS, que inclui a correção para essa falha. Se a atualização imediata não for possível, considere implementar medidas de segurança adicionais, como restringir o acesso à API do lakeFS, implementar controles de acesso mais rigorosos e monitorar o sistema em busca de atividades suspeitas. Revise as configurações de permissões para garantir que os usuários tenham apenas o acesso necessário. Implementar um Web Application Firewall (WAF) com regras para bloquear solicitações com caracteres de path traversal (../) pode oferecer uma camada adicional de proteção. Após a atualização, verifique se a vulnerabilidade foi corrigida tentando acessar um arquivo fora do diretório esperado e confirmando que o acesso é negado.