goshs: Limitação Inadequada de um Nome de Caminho para um Diretório Restrito ('Path Traversal') no Upload PUT do goshs

A vulnerabilidade CVE-2026-35392 no goshs permite que um atacante remoto escreva arquivos arbitrários no servidor. Isso se deve à falta de validação de caminho na função de upload PUT. O servidor usa diretamente req.URL.Path para construir o caminho de salvamento, sem realizar nenhuma sanitização de caminho, verificação de .. ou contenção dentro de um diretório raiz web. Um atacante pode explorar esta vulnerabilidade enviando uma solicitação PUT com um caminho malicioso contendo sequências como ../, permitindo que ele sobrescreva arquivos fora do diretório pretendido. Como nenhuma autenticação ou configuração especial é necessária, a vulnerabilidade afeta a configuração padrão do servidor, representando um risco significativo para sistemas expostos à rede.

Organizations deploying goshs in production environments, particularly those without robust access controls or WAF protection, are at significant risk. Systems exposed directly to the internet or those with limited network segmentation are especially vulnerable. Shared hosting environments utilizing goshs are also at increased risk due to the potential for cross-tenant exploitation.

• linux / server:

journalctl -f | grep -i 'upload' && grep -i 'path traversal'

• generic web:

curl -X PUT --data-binary @evil.txt 'http://<target>/../../../../etc/passwd'

1. 2026-04-03Disclosure

   disclosure

1. Reservado2026-04-02
2. Publicada2026-04-03
3. Modificada2026-04-07
4. EPSS atualizado2026-04-14

A mitigação recomendada é atualizar o goshs para a versão 1.1.5-0.20260401172448-237f3af891a9 ou posterior. Esta versão corrige a vulnerabilidade implementando uma validação adequada do caminho. Como uma solução alternativa temporária, um Firewall de Aplicações Web (WAF) pode ser implementado para bloquear solicitações PUT com caminhos suspeitos. Além disso, restringir o acesso ao servidor goshs apenas a fontes confiáveis pode reduzir o risco de exploração. É crucial revisar e fortalecer as políticas de segurança do servidor para prevenir incidentes futuros.