Louis Pilfold

Um problema de path traversal existe onde um publicador de pacotes malicioso pode causar a exclusão de diretórios fora do diretório de build do projeto. Isso ocorre porque o Gleam lê o campo `app` da API de releases do hex.pm e o utiliza como nome do diretório de build do pacote sem a validação adequada. Se uma dependência falhar na compilação, o Gleam utiliza a função `remove dir all` para excluir o diretório associado a esse nome. Um publicador poderia definir o campo `app` como um caminho absoluto ou um caminho relativo contendo componentes `..` para atingir diretórios arbitrários. Isso pode ser acionado por comandos como `gleam build`, `gleam check`, `gleam run`, `gleam test` ou `gleam export` quando um projeto depende de uma release maliciosa. O problema está especificamente ligado à função `hex manifest package` em `compiler-cli/src/dependencies.rs` e à função `ProjectPaths::build directory for package`.

A verificação insuficiente da autenticidade dos dados permite que um adversário no meio substitua conteúdos forjados de pacotes Hex durante a resolução de dependências. Embora o Gleam busque metadados de pacotes de um repositório Hex com assinatura verificada, a função `gleam cli::dependencies::lookup package` faz uma requisição subsequente a uma API Hex não assinada através de `gleam core::hex::get package release`. O sistema registra o `outer checksum` e os nomes das dependências dessa resposta JSON não assinada no `manifest.toml`, em vez de utilizar os valores dos metadados verificados. Um invasor capaz de interceptar o tráfego TLS com um certificado confiável e modificar tanto a resposta da API quanto o tarball do repositório pode fornecer um arquivo de pacote forjado com um checksum correspondente. Isso resulta na perda de integridade, pois o Gleam aceita e extrai os conteúdos forjados. Este problema afeta especificamente projetos que resolvem ou atualizam dependências Hex, como quando o manifesto está ausente ou as dependências são alteradas.

Um problema de path traversal existe no processamento de páginas de documentação personalizadas. As entradas `documentation.pages` no arquivo `gleam.toml` são incorporadas a caminhos do sistema de arquivos sem validação suficiente. Especificamente, o campo `documentation.pages[].path` permite a gravação de arquivos de documentação gerados fora do diretório pretendido `build/dev/docs/<package>/`, e o campo `documentation.pages[].source` permite a leitura de arquivos fora do diretório do projeto para incorporá-los na saída. Um invasor pode explorar isso convencendo uma vítima a executar `gleam docs build` em um projeto não confiável ou com conteúdo malicioso no `gleam.toml`, resultando em operações de leitura e gravação arbitrária de arquivos.

Um problema de seguimento de links simbólicos (symlinks) na exportação de pacotes Hex permite que arquivos fora da raiz do projeto sejam incorporados no tarball do pacote gerado. Os auxiliares de coleta de arquivos `gleam files`, `native files` e `private files` em compiler-cli/src/fs.rs utilizam `follow links(true)` ao percorrer diretórios publicáveis, como src/ e priv/. Esses caminhos são adicionados ao arquivo do pacote via `add path to tar` em compiler-cli/src/publish.rs sem verificar se o destino resolvido permanece dentro da raiz do projeto. Um invasor com acesso de escrita ao repositório do projeto pode colocar um link simbólico em src/ ou priv/ apontando para arquivos arbitrários. Quando um mantenedor ou pipeline de CI executa os comandos "gleam publish" ou "gleam export hex-tarball", arquivos locais legíveis pelo publicador, como segredos, tokens ou chaves SSH, são silenciosamente incorporados ao artefato do pacote publicado.

Uma falha de path traversal no sistema de gerenciamento de dependências permite a exclusão recursiva de diretórios arbitrários. Isso ocorre porque as chaves de pacotes lidas do arquivo `build/packages/packages.toml` pela função `LocalPackages::read from disc` são passadas sem validação para `paths.build packages package()`. Esse processo constrói um caminho de sistema de arquivos juntando o diretório de build do projeto com uma chave controlada por um invasor, que é então passada para `fs::delete directory` (que chama `remove dir all`). Como o sistema não verifica se o caminho permanece dentro do diretório `build/packages/` pretendido, tanto caminhos absolutos quanto sequências de travessia relativa (como `../`) podem ser usados para alvejar e excluir qualquer diretório no sistema da vítima quando o comando `gleam deps download` é executado em um projeto que contenha um arquivo de configuração malicioso.

Name of the Vulnerable Software and Affected Versions Gleam versões 1.9.0-rc1 até 1.15.3 e 1.16.0-rc1 Description Um problema de validação de caminho inadequada existe no compilador Gleam ao lidar com dependências git durante o processo de download da dependência. Nomes de dependência de `gleam.toml` e `manifest.toml` são usados para construir caminhos do sistema de arquivos sem validação suficiente, permitindo que caminhos controlados por um invasor (usando travessia relativa como '../' ou caminhos absolutos) tenham como alvo locais fora do diretório de dependência pretendido. Isso pode levar à modificação arbitrária do sistema de arquivos, incluindo exclusão e criação de diretórios, ao resolver dependências git com `gleam deps download`. Uma dependência git maliciosa pode sobrescrever diretórios arbitrários, potencialmente causando perda de dados ou, em alguns ambientes, alcançando a execução de código sobrescrevendo arquivos como hooks git ou arquivos de configuração do shell. Recommendations Evite usar dependências git não confiáveis, especialmente sem fixar em um commit SHA específico. Revise cuidadosamente as árvores de dependência, incluindo dependências git transitivas. Execute comandos de resolução de dependência em um ambiente restrito ou isolado (por exemplo, contêineres).

gleam-wisp wisp contém uma falha na análise do corpo de formulários multipart que pode levar a uma negação de serviço. A função `multipart body` não impõe limites configurados nos tamanhos do corpo e dos arquivos. Especificamente, quando uma fronteira multipart está faltando em um bloco, o analisador anexa o bloco sem atualizar a cota, permitindo que um invasor não autenticado esgote os recursos do servidor enviando grandes envios de formulários multipart.

Nome do Software Vulnerável e Versões Afetadas gleam-wisp wisp versões 2.1.1 a 2.2.0 Descrição Uma vulnerabilidade de travessia de caminho existe no gleam-wisp wisp que permite a leitura arbitrária de arquivos por meio de travessia de caminho codificada em porcentagem. A função `wisp.serve static` é suscetível porque a sanitização ocorre antes da decodificação em porcentagem. A sequência codificada `%2e%2e` contorna a substituição de strings e é então convertida para `..` pela função `uri.percent decode`, permitindo a travessia de diretórios ao ler o arquivo. Um invasor não autenticado pode ler qualquer arquivo acessível ao processo da aplicação com uma única solicitação HTTP, potencialmente incluindo código-fonte, arquivos de configuração, segredos e arquivos do sistema. Recomendações Atualize o gleam-wisp wisp para a versão 2.2.1 ou posterior.