AWS SDK for Java 路径遍历漏洞

CNNVD-ID编号	CNNVD-202207-1364	CVE编号	CVE-2022-31159
发布时间	2022-07-15	更新时间	2022-07-18
漏洞类型	路径遍历	漏洞来源	N/A
危险等级	高危	威胁类型	N/A
厂商	N/A

漏洞介绍

Amazon AWS SDK for Java是美国亚马逊（Amazon）公司的一款基于Java平台的用于Amazon Web Services（AWS）的软件开发工具包。。 AWS SDK for Java v1 1.12.261之前版本存在路径遍历漏洞，该漏洞源于AWS SDK for Java使Java开发人员能够使用Amazon Web Services。在AWS SDK for Java v1 1.12.261版本之前的AWS S3 TransferManager组件的“downloadDirectory”方法中存在一个部分路径遍历问题。使用SDK的应用程序控制“destinationDirectory”参数，但S3对象的密钥是由上传对象的应用程序决定的。“downloadDirectory”方法允许调用者在对象密钥中传递一个文件系统对象，但在密钥名称的验证逻辑中包含一个问题。知识渊博的参与者可以通过在桶键中包括一个UNIX双点来绕过验证逻辑。在某些情况下，这可能允许他们从S3桶中检索一个目录，该目录在其工作目录的文件系统中上一级。这个问题的范围仅限于名称前缀与destinationDirectory匹配的目录。例如，对于目的地目录“/tmp/foo”，参与者可以导致下载到“/tmp/foo-bar”，但不能下载到“/tmp/bar”。如果“com.amazonaws.service.s3.transfer.TransferManager：：downloadDirectory”被用来下载一个不受信任的桶的内容，该桶的内容可能被写在预期目标目录之外。1.12.261版本包含了针对此问题的一个补丁。作为一个解决方法，当调用“com.amazonaws.service.s3.transfer.TransferManager：：downloadDirectory”时，传递一个“KeyFilter”，禁止“S3ObjectSummary”对象的`getKey”方法返回包含子串“..”的字符串。