Opencast 在 UI 配置中存在部分路径遍历漏洞

该路径遍历漏洞的潜在影响在于，攻击者可以访问位于 /etc/opencast/ui-config 目录下，且文件名与目标文件相同，但位于其他目录（例如 /etc/opencast/ui-config-hidden）下的文件。虽然无法进行通用的路径遍历，但如果这些文件包含敏感信息，例如配置文件、密钥或用户数据，攻击者可能会获得未经授权的访问权限。这种攻击可能导致信息泄露，甚至可能被用于进一步的攻击活动，例如权限提升或横向移动。

Organizations deploying OpenCast for video management and streaming, particularly those using legacy configurations or shared hosting environments, are at risk. Systems with default directory structures and permissive file permissions are especially vulnerable.

• linux / server:

find /etc/opencast/ui-config/ -type f -perm -o -r -print0 | xargs -0 ls -l | grep -i 'ui-config-hidden'

• java / server: Monitor OpenCast application logs for unusual file access attempts or errors related to path traversal. Look for patterns indicating attempts to access files outside the expected configuration directory. • generic web: Examine web server access logs for requests targeting the UI configuration endpoint with unusual path parameters. Look for attempts to manipulate the path to access files outside the intended directory.

1. 2025-08-29Disclosure

   disclosure

1. 已保留2025-08-08
2. 发布日期2025-08-29
3. EPSS 更新日期2026-03-23

修复此漏洞的首要措施是升级 OpenCast UI 配置模块至 17.7 或更高版本。如果无法立即升级，可以考虑以下缓解措施：首先，确保 /etc/opencast/ui-config 目录及其子目录的权限设置严格限制，只允许 OpenCast 进程访问。其次，审查 /etc/opencast/ui-config-hidden 目录下的文件，确保其中不包含任何敏感信息。最后，可以考虑使用 Web 应用防火墙 (WAF) 或代理服务器来过滤掉潜在的路径遍历攻击请求，但请注意，这可能无法完全阻止攻击。