Koji hub 调用未执行正确的访问检查

攻击者利用此漏洞可以读取和写入 Koji 服务器上的任意文件，包括构建日志、密钥文件和配置数据。这可能导致敏感代码泄露，例如私钥或密码，从而允许攻击者冒充构建系统执行恶意操作。此外，攻击者可以修改构建过程，将恶意代码注入到生成的软件包中，从而影响下游系统。由于 Koji 通常用于自动化软件构建和部署，因此此漏洞的潜在影响范围非常广泛，可能影响整个软件供应链。

Organizations using Koji to manage RPM packages, particularly those running older, unpatched versions (≤1.15.0), are at significant risk. Shared hosting environments where Koji instances are deployed alongside other applications are also vulnerable, as a compromise of Koji could potentially impact other services.

• linux / server:

journalctl -u koji | grep -i "access denied"

• python:

import os
# Check for unusual file permissions in Koji's data directory
for root, dirs, files in os.walk('/path/to/koji/data'): # Replace with actual path
    for file in files:
        filepath = os.path.join(root, file)
        if os.access(filepath, os.W_OK):
            print(f"Warning: Writeable file found: {filepath}")

1. 2018-07-12Disclosure

   disclosure

1. 发布日期2018-07-12
2. 修改日期2025-02-18
3. EPSS 更新日期2026-04-02

最有效的缓解措施是立即将 Koji 升级到 1.15.1 或更高版本。如果升级不可行，可以考虑以下临时缓解措施：限制 Koji 进程的权限，仅允许其访问必要的文件和目录；实施严格的网络隔离，限制对 Koji 服务器的访问；审查 Koji 的配置，确保没有不必要的权限或配置错误。升级后，请验证文件系统权限是否已正确设置，并检查系统日志中是否有任何可疑活动。