漏洞概述 CVE-2024-32727 - SciTokens 路径遍历漏洞 该漏洞存在于 SciTokens 的 组件中，攻击者可通过构造包含 序列（包括百分号编码变体）的恶意 scope 路径，实现目录遍历攻击，绕过令牌权限范围限制。 影响范围 受影响组件: SciTokens 库中的 scope/路径验证机制 攻击向量: - 直接路径遍历 ( ) - 百分号编码变体 ( , , 等) - 双重编码变体 修复方案 核心修复措施 1. 添加路径规范化辅助函数 ( ) - 在路径匹配前检测并拒绝包含 的遍历序列 - 处理编码形式的遍历攻击（URL解码后检查） 2. 异常处理流程改进 - 将无效 scope 资源错误纳入验证失败流程 - 使 可靠返回 并设置 3. 新增单元测试覆盖 - 针对 和 的遍历尝试测试（含编码变体） - ACL 生成拒绝场景测试 代码变更文件 关键测试用例（提取） 修复状态 PR 状态: 已合并（ 合并至 ） 合并提交: 审查: Copilot AI 代码审查通过，包含 3 条评论建议均已处理