Plataforma
java
Componente
quarkus-openapi-generator
Corrigido em
2.15.1
2.16.1
O Quarkus OpenAPI Generator, nas versões anteriores a 2.16.0 e 2.15.0-lts, apresentava uma vulnerabilidade de Path Traversal. Essa falha permitia que atacantes escrevessem arquivos fora do diretório de destino pretendido, explorando a falta de validação adequada do caminho do arquivo durante a extração de arquivos ZIP. A correção foi implementada na versão 2.16.0.
A vulnerabilidade CVE-2026-40180 no Quarkus OpenAPI Generator afeta versões anteriores a 2.16.0 e 2.15.0-lts. Trata-se de uma falha de segurança de tipo 'path traversal'. O componente ApicurioCodegenWrapper.java, especificamente o método 'unzip()', não valida adequadamente o caminho dos arquivos extraídos de um arquivo ZIP. Isso permite que um atacante, através da criação de um arquivo ZIP malicioso com nomes de arquivos contendo sequências de 'path traversal' (como '..'), escreva arquivos fora do diretório de saída previsto. Um atacante poderia potencialmente sobrescrever arquivos sensíveis no sistema, comprometendo a integridade e a confidencialidade da aplicação Quarkus.
Um atacante poderia explorar esta vulnerabilidade fornecendo um arquivo ZIP malicioso ao Quarkus OpenAPI Generator durante o processo de geração de clientes REST ou stubs do servidor. O arquivo ZIP conteria entradas com nomes de arquivos que incluíssem sequências de 'path traversal', permitindo ao atacante escrever arquivos em localizações arbitrárias no sistema de arquivos. A probabilidade de exploração depende da capacidade do atacante de controlar o arquivo OpenAPI utilizado pelo Quarkus e da configuração do ambiente de execução. A complexidade da exploração é relativamente baixa, já que requer apenas a criação de um arquivo ZIP malicioso.
Development teams using Quarkus OpenAPI Generator to automate code generation are at risk. Specifically, those using versions prior to 2.16.0 and relying on external or untrusted ZIP archives for code generation are particularly vulnerable. Shared hosting environments where multiple users can potentially influence the generated code are also at increased risk.
• java / server:
find /path/to/quarkus/output -name 'malicious.java' -print• generic web:
curl -I http://your-quarkus-app/ | grep 'Content-Type:'disclosure
Status do Exploit
EPSS
0.06% (percentil 18%)
CISA SSVC
A solução para mitigar esta vulnerabilidade é atualizar para a versão 2.16.0 ou superior do Quarkus OpenAPI Generator. Esta versão inclui uma validação adequada dos caminhos dos arquivos extraídos, prevenindo a escrita de arquivos fora do diretório de destino. Recomenda-se aplicar esta atualização o mais breve possível para proteger suas aplicações Quarkus. Além disso, recomenda-se revisar as fontes dos arquivos OpenAPI utilizados pelo Quarkus, garantindo que provenham de fontes confiáveis para evitar a introdução de arquivos ZIP maliciosos. Implementar controles de acesso rigorosos ao diretório de saída também pode ajudar a reduzir o impacto de uma possível exploração.
Actualice a la versión 2.16.0 o 2.15.0-lts de quarkus-openapi-generator para mitigar la vulnerabilidad de recorrido de directorios. Esta actualización corrige la validación de rutas al extraer archivos ZIP, evitando la escritura de archivos fuera del directorio de destino.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
Um ataque de 'path traversal' permite que um atacante acesse arquivos ou diretórios fora do diretório pretendido, utilizando sequências como '..' para navegar pela estrutura de diretórios.
As versões anteriores a 2.16.0 e 2.15.0-lts são vulneráveis a esta vulnerabilidade.
Verifique a versão do Quarkus OpenAPI Generator que você está utilizando. Se for anterior a 2.16.0 ou 2.15.0-lts, sua aplicação é vulnerável.
Como medida temporária, restrinja o acesso ao diretório de saída do Quarkus OpenAPI Generator e revise cuidadosamente as fontes dos arquivos OpenAPI.
Recomenda-se revisar as notas de lançamento do Quarkus para obter informações sobre outras vulnerabilidades e atualizações de segurança.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Envie seu arquivo pom.xml e descubra na hora se você está afetado.