CVE-2026-125113 Recorrido de directorios en el listado de directorios de XRootD con patrón ".." final
Antes de 5.9.2, la función rpCheck() de XRootD solo rechaza un componente de directorio padre cuando los dos puntos van seguidos de barra y no rechaza un componente terminal de dos puntos. Un atacante no autenticado puede agregar /.. a una ruta exportada en xrdfs ls o en una solicitud HTTP PROPFIND, evadir el alcance de directorio de all.export y enumerar directorios y nombres de archivo en el directorio padre bajo oss.localroot. El vector demostrado no permite descargar archivos ni revelar su contenido…
CVSS 3.1
- Probabilidad de explotaciónSin dato
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
xrootd
< 5.9.2
Qué hacer
- Verificá si usás xrootd y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 5.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadNinguna
- DisponibilidadNinguna
Descripción original
The XRootD project provides a high-performance, fault-tolerant, and secure solution for handling large amounts of data distributed across multiple storage resources. Prior to version 5.9.2, XRootD's rpCheck() function in src/XrdXrootd/XrdXrootdXeq.cc rejects a parent-directory component only when two dots are followed by a slash and does not reject a terminal two-dot component. An unauthenticated attacker can append /.. to an exported path in xrdfs ls or an HTTP PROPFIND request, bypass the all.export directory scope, and cause directory and filename enumeration in the parent directory under oss.localroot. The demonstrated vector does not permit file download or disclose file contents. This issue is fixed in version 5.9.2.
Referencias (3)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.