Goobi viewer Core 中存在路径遍历漏洞

攻击者可以利用此路径遍历漏洞，通过构造恶意的请求，访问 Goobi Viewer Core 应用程序服务器用户（例如 Tomcat）可访问的文件。这可能包括配置文件、数据库凭据、源代码或其他敏感数据。攻击者可能利用这些信息进一步渗透系统，或窃取关键业务数据。虽然访问权限受限于应用程序服务器用户，但如果服务器用户拥有较高的权限，则潜在影响将更大，可能导致更广泛的数据泄露和系统破坏。此漏洞的严重性与类似的文件包含漏洞相当，可能导致未经授权的访问和数据泄露。

Organizations utilizing Goobi Viewer Core in production environments, particularly those with sensitive data stored on the server, are at risk. Shared hosting environments where multiple users share the same server instance are also particularly vulnerable, as a compromised Goobi Viewer Core instance could potentially expose data belonging to other users.

• java / server:

find /var/lib/tomcat/webapps/goobi-viewer-core/ -name "*.properties"

• generic web:

curl -I 'http://your-goobi-viewer-core-url/../../../../etc/passwd' # Check for file disclosure

1. 2020-07-22Disclosure

   disclosure

1. 已保留2020-06-25
2. 发布日期2020-07-22
3. 修改日期2024-08-04
4. EPSS 更新日期2026-04-02

最有效的缓解措施是立即升级到 Goobi Viewer Core 4.8.3 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：限制应用程序服务器用户的权限，使其只能访问必要的文件和目录。配置 Web 应用程序防火墙 (WAF) 或代理服务器，以阻止包含路径遍历攻击模式的请求。审查 Goobi Viewer Core 的配置文件，确保没有敏感信息以明文形式存储。监控应用程序日志，查找可疑的访问尝试。