BubbleTea

CVE-2007-4559 Verzeichnis-Traversal-Schwachstelle unter Verwendung von „.tar“ zu ../../flag

Pfad

BubbleTea/
├── Dockerfile
├── flag
├── requirements.txt
└── src
    ├── files
    ├── template
    │   └── index.html
    └── app.py

Aktuelle Bauanleitungen

• Docker überprüfen docker ps docker images

docker build -t tarpioka docker run -d -it --name tarpioka -p 13680:8000 tarpioka

docker ps

• Docker stoppen und entfernen docker stop tarpioka docker rm tarpioka docker rmi tarpioka

Angriffsskript ausführen

Patch

• 07/14

1. path Traversal: verhindern, dass der file name Parameter Zeichenfolgen mit '..' oder '/' enthält

2. Erstellen eines Upload-Ordners pro Sitzung

3. Protokollierung hinzugefügt