BubbleTea

CVE-2007-4559 「.tar」を使用したディレクトリトラバーサル脆弱性により../../flag

path

---

BubbleTea/
├── Dockerfile
├── flag
├── requirements.txt
└── src
    ├── files
    ├── template
    │   └── index.html
    └── app.py

現在のビルド手順

• dockerの確認 docker ps docker images

docker build -t tarpioka docker run -d -it --name tarpioka -p 13680:8000 tarpioka

docker ps

• dockerの停止と削除 docker stop tarpioka docker rm tarpioka docker rmi tarpioka

攻撃スクリプトの実行

パッチ

• 07/14

1. パストラバーサル ファイル名の引数に'..'、'/'が含まれる文字列を禁止

2. セッションごとにアップロードフォルダを作成

3. ログ記録を追加