Vulnerabilidad en Venice (CVE-2022-36007)

Venice es un dialecto Lisp inspirado en Clojure con una excelente interoperabilidad con Java. Se presenta un problema de recorrido parcial en las funciones "load-file" y "load-resource". Estas funciones pueden limitarse a cargar archivos de una lista de rutas de carga. Asumiendo que Venice ha sido configurado con las rutas de carga: "["/Users/foo/resources" ]" Cuando son pasadas rutas **relativas** a estas dos funciones vulnerables todo está bien: "(load-resource "test.png")" =) carga el archivo "/Users/foo/resources/test.png" "(load-resource "../resources-alt/test. png")" =) rechazado, fuera de la ruta de carga Cuando son pasadas rutas **absolutas** a estas dos funciones vulnerables Venecia puede devolver archivos fuera de las rutas de carga configuradas: "(load-resource "/Users/foo/resources/test. ¡¡¡png")" =) carga el archivo "/Users/foo/recursos/test.png" "(load-resource "/Users/foo/recursos-alt/test.png")" =) carga el archivo "/Users/foo/recursos-alt/test.png" !!! Esta última llamada sufre una vulnerabilidad se Salto de Ruta Parcial. El alcance de este problema es limitado a las rutas absolutas cuyo prefijo de nombre coincide con una ruta de carga. Por ejemplo, para una ruta de carga ""/Users/foo/resources"", el actor puede causar la carga de un recurso también desde ""/Users/foo/resources-alt"", pero no desde ""/Users/foo/images"". Las versiones de Venice anteriores a v1.10.17, incluyéndola, están afectadas por este problema. Actualice a Venice versiones posteriores a 1.10.18 incluyéndola, si está en una versión anterior a 1.10.18. Actualmente no se presentan mitigaciones conocidas.