Hacdias

Um problema ocorre quando o software é hospedado em um sistema de arquivos insensível a maiúsculas e minúsculas, como Windows/NTFS, e as opções Signup e CreateUserDir estão habilitadas. O sistema não considera a insensibilidade a maiúsculas e minúsculas durante as verificações de propriedade do diretório home no auto-registro. Consequentemente, dois usuários que se registram com nomes que diferem apenas em maiúsculas e minúsculas (ex: `CaseVictim` e `casevictim`) são tratados como contas distintas, mas são mapeados para o mesmo diretório home físico. Isso acontece porque a verificação de propriedade de escopo realiza uma comparação de string exata e sensível a maiúsculas e minúsculas. Um invasor pode registrar um nome de usuário semelhante para ler, sobrescrever ou excluir arquivos de outra conta por meio de endpoints HTTP autenticados, sem a necessidade de interação da vítima.

Existe uma falha de bypass de permissão no endpoint '/api/resources'. A função `resourceGetHandler` não realiza a verificação `Perm.Download` ao processar o parâmetro `checksum`. Isso permite que um usuário autenticado, com a permissão de download desativada, obtenha um oráculo de hash de conteúdo (suportando md5, sha1, sha256 e sha512) para qualquer arquivo dentro de seu escopo. Essa falha pode ser utilizada para confirmar conteúdos previstos, detectar alterações em arquivos ou realizar ataques de força bruta offline em arquivos de baixa entropia.

Usuários autenticados podem ignorar regras de negação definidas pelo administrador porque o software falha ao canonicalizar caminhos antes de avaliar as regras de acesso. A canonicalização de caminho é o processo de converter um caminho de arquivo em uma representação padrão e única. Ao usar caminhos com variações de maiúsculas/minúsculas ou separados por barras invertidas, invasores podem solicitar arquivos com representações alternativas que não correspondem a nenhuma regra de negação, mas que resolvem para o mesmo objeto do sistema de arquivos, resultando em acesso não autorizado a arquivos restritos dentro de seu escopo.

Usuários autenticados podem gravar dados arbitrários no disco porque o software falha ao aplicar o `Upload-Length` declarado no endpoint PATCH de upload retomável TUS. Isso permite que atacantes enviem corpos de requisição superdimensionados que excedem o comprimento de upload declarado, potencialmente esgotando o espaço em disco disponível e causando a indisponibilidade do serviço.

Existe um problema onde o software falha em respeitar o isolamento `createUserDir` nos caminhos de auto-provisionamento de autenticação de proxy e hook. Isso permite que atacantes com credenciais autenticadas no upstream explorem a atribuição de escopo da raiz do servidor para ler, modificar, excluir e compartilhar arquivos pertencentes a outros usuários.

Existe um problema no mecanismo de expulsão de cache de upload TUS que permite que usuários autenticados com apenas permissão de Create excluam arquivos arbitrários fora de seu escopo atribuído. Um invasor pode substituir um diretório ancestral por um link simbólico durante a janela de TTL (Time To Live) do cache para redirecionar a chamada da função `os.Remove()` para um alvo fora do escopo pretendido, ignorando as proteções de escopo do ScopedFs e as verificações de `Perm.Delete`.

Existe um problema onde o software falha ao validar a expiração de JSON Web Tokens (JWT)—um meio compacto e seguro para URLs de representar reivindicações a serem transferidas entre duas partes—quando a autenticação por proxy é configurada com uma página de logout não padrão. Isso permite que atacantes com um token anteriormente válido acessem rotas protegidas e endpoints administrativos indefinidamente, além de trocarem tokens expirados por novos através do endpoint de renovação.

Usuários autenticados podem ignorar controles de acesso baseados em caminho durante operações recursivas de cópia, renomeação e exclusão. O sistema falha ao validar as regras de acesso para descendentes, permitindo que um invasor manipule arquivos negados ao realizar essas operações em um diretório pai permitido, o que compromete o isolamento baseado em regras para confidencialidade e integridade.

Usuários autenticados podem deixar compartilhamentos públicos obsoletos porque o software falha ao normalizar caminhos antes de consultar o índice de compartilhamento na função `DeleteWithPathPrefix()`. Um invasor pode excluir um diretório compartilhado usando um caminho com barra final e, posteriormente, recriar o diretório para expor novos conteúdos por meio da URL de compartilhamento público inativa.

Existe um problema onde o software não normaliza adequadamente os caminhos de arquivos ao criar arquivos zip ou tar em hosts Linux. Especificamente, a função `getFiles()` utiliza `filepath.ToSlash`, que não converte barras invertidas no Linux. Isso permite que um usuário autenticado com permissões de criação faça o upload de arquivos contendo sequências de travessia no estilo Windows (ex: `....`) no nome do arquivo. Esses nomes são armazenados literalmente no sistema de arquivos Linux e, posteriormente, incluídos verbatim no arquivo compactado gerado. Quando uma vítima baixa e extrai tal arquivo usando extratores baseados em Windows (como Windows Explorer, 7-Zip ou WinRAR), as barras invertidas são interpretadas como separadores de caminho. Isso leva a uma gravação arbitrária de arquivos, permitindo que arquivos sejam gravados fora do diretório de extração pretendido na máquina da vítima.

The issue arises when encoding data that contains a `Bytes` kind Node using the `json` codec, causing the encoder to panic as it does not expect to receive `Bytes` tokens. This should be treated as an error since plain JSON cannot encode bytes. The `dag-json` codec is not impacted, and neither is the use of `json` as a decoder. If the `json` codec is used to encode user-supplied data, it may be used as a vector for a denial of service attack.