关键信息摘要 漏洞概述 漏洞编号: CVE-2020-14352 描述: LibreRepo 缺少对 repomd.xml 的路径验证，可能导致目录遍历漏洞。 影响范围 产品: Security Response 组件: vulnerability 操作系统: Linux 优先级: 高 严重性: 高 技术细节 漏洞原因: 和 函数中， 在没有正确验证的情况下与 拼接，允许攻击者通过构造的路径遍历覆盖任意文件。 修复状态: 已修复，上游提交: https://github.com/rpm-software-management/librepo/commit/7dae2a2429a54dad68b1de9b37a5f65c5cf2600 修复补丁 涉及版本: LibreRepo 1.12.1 修复记录: - RHBA-2020:3837, RHSA-2020:3658, RHSA-2020:3749, RHSA-2020:3756, RHSA-2020:5012 漏洞影响 受影系统: Red Hat Enterprise Linux 7, 8 不受影响: YUM 3 不受影响。RHEL-7 中的 Librepo 版本不包含允许任意写入的功能，但可被覆盖为空文件。 修复措施 官方建议: 避免从不受信的第三方镜像下载软件，建议使用官方提供的安全存取和签名的软件包。