CVE-2021-29425

Versões do Apache Commons IO anteriores à 2.7

O problema está relacionado ao método FileNameUtils.normalize no Apache Commons IO, que lida incorretamente com sequências de traversal de diretório, como “//../foo” ou “..foo”. Isso poderia permitir que um invasor remoto obtivesse acesso não autorizado a informações protegidas, potencialmente fornecendo acesso a arquivos no diretório pai, mas não em níveis superiores, resultando assim em um traversal de caminho “limitado”.

Para versões do Apache Commons IO anteriores à 2.7, atualize para a versão 2.7 ou posterior para resolver o problema. Como solução temporária, considere validar as cadeias de caracteres de entrada para o método FileNameUtils.normalize a fim de impedir que entradas inadequadas, como “//../foo” ou “..foo”, sejam processadas. Restrinja o acesso a arquivos e diretórios confidenciais para minimizar o risco de exploração.