Path Traversal 2.0: Container-Entkommen und /etc/passwd in 2025 📁

---

Einführung

Im Jahr 2025 hat sich die klassische Web-Sicherheitslücke bekannt als Path Traversal (auch Verzeichnisdurchquerung genannt) erheblich weiterentwickelt: Moderne Angriffsflächen umfassen jetzt Container-Umgebungen, Archiv-Extraktionspfade und cloud-native Workflows. Was einst hauptsächlich eine Web-App-Trick war, wie ../../etc/passwd, erstreckt sich nun auf Container-Entkommen, willkürliche Dateischreibvorgänge in Container-Images und privilegierte Konfigurationsdateien. Dieser Artikel erklärt, warum Path Traversal 2.0 relevant ist, wie Angreifer es nutzen, um Container zu entkommen und Dateien wie /etc/passwd zu lesen oder zu überschreiben, und was Sie heute tun müssen, um sich zu schützen.

---

Was ist Path Traversal?

Im Kern ermöglicht eine Path Traversal-Attacke einem Angreifer, die Logik der Dateipfad-Verarbeitung (über ../, absolute Pfade oder kodierte Varianten) zu manipulieren, sodass die Anwendung Dateien außerhalb ihres vorgesehenen Verzeichnisses oder „Root“ zugreift. Für Web-Apps kann das bedeuten, /etc/passwd, Quellcode oder Konfigurationsdateien zu lesen. (owasp.org)

Klassisches Beispiel

Stellen Sie sich eine Webanwendung mit einem URL-Parameter wie ?file=report.pdf vor, der an open("/var/www/files/"+filename) übergeben wird. Wenn der Code filename nicht ausreichend bereinigt, könnte der Angreifer ../../../../etc/passwd eingeben und den Server dazu bringen, die Systempasswortdatei zurückzugeben. (invicti.com) Das bekannte Beispiel von der OWASP-Seite:

GET /vulnerable.php?file=../../../../etc/passwd

zeigt Einträge wie root:x:0:0:. (owasp.org)

Warum es immer noch relevant ist

Obwohl es eine relativ „alte“ Klasse ist (wird von OWASP erwähnt und ist seit Jahrzehnten bekannt), bleibt Path Traversal relevant, weil:

• Viele Anwendungen erlauben noch immer Dateipfad-Parameter oder Exporte ohne strenge Validierung. (yeswehack.com)
• Angreifer kombinieren es jetzt mit anderen Schwachstellen (z.B. SSRF, Archiv-Exploits), um die Wirkung zu verstärken. (yeswehack.com)
• Der Übergang zu Containern, Microservices und Cloud-native-Architekturen bringt neue Kontexte (Archiv-Entpacken, Container-Entkommen), bei denen die Traversal-Logik fehlerhaft sein kann.

---

Warum „2.0“? Die Entwicklung hin zu Containern & Cloud

Im Jahr 2025 ist die große Veränderung, dass Path Traversal-Schwachstellen nicht mehr nur auf einfache Web-Verzeichnis-Kontexte beschränkt sind. Stattdessen sehen wir:

Container- & Archiv-Exploits

• Eine kürzliche Schwachstelle, CVE‑2025‑62156, betrifft Argo Workflows (eine container-native Workflow-Engine). Das Problem: Während der Artefakt-Extraktion (untar/zip) können Einträge im Archiv Traversal-Pfade (oder absolute Pfade) enthalten, die die vorgesehenen Extraktionsverzeichnisse verlassen und Schreibzugriffe in /etc/passwd, /etc/hosts, /etc/crontab innerhalb des Containers erlauben. (OffSeq Threat Radar)
• Container-Entkommen-Angriffe nutzen das geschichtete Dateisystemmodell von Containern und kombinieren sie oft mit Traversal-Logik oder Archiv-Exploits. Ein Forschungsbericht „gh0stEdit“ (Juni 2025) zeigt, wie Angreifer Schichten in einem Docker-Image unbemerkt modifizieren können. (arXiv)

Warum /etc/passwd weiterhin im Fokus bleibt

• Die Datei /etc/passwd auf Unix-basierten Systemen listet Benutzerkonten und Metadaten auf. Das Lesen allein liefert heutzutage keine Hash-Passwörter mehr (diese sind oft in /etc/shadow), aber es zeigt Benutzernamen, UID/GIDs, Shells, Home-Verzeichnisse – Informationen, die für weitere Angriffe und Privilegienerhöhungen nützlich sind. (invicti.com)
• In Container-Kontexten bedeutet das Schreiben oder Überschreiben von /etc/passwd im Container, einen Benutzer zu injizieren oder Privilegien im Container zu erhöhen, was dann zu Sandbox-Entkommen oder Host-Pivoting führen kann.

Microservices, APIs & interne Dateifreigaben

Moderne Anwendungen im Jahr 2025 stellen häufig interne APIs, Microservices oder Date-Endpoints bereit. Angreifer zielen auf diese Endpunkte für Traversal, insbesondere wenn sie JSON-Input oder interne Requests akzeptieren, die äußere Filter umgehen. Ein Leitfaden vom Mai 2025 beschreibt, wie man APIs prüft und Filter umgeht, um Traversal in interne Lesevorgänge zu chainen. (yeswehack.com)

---

Angriffsmethoden: Wie Path Traversal 2.0 funktioniert

Hier eine Aufschlüsselung, wie ein Angreifer die weiterentwickelte Path Traversal-Bedrohung im Jahr 2025 ausnutzen könnte:

1. Einfaches Dateilesen via Web-App

• Finden Sie einen Endpunkt, der einen Dateinamen oder Pfadparameter akzeptiert (häufige Namen: file, path, doc, img, download). (System Weakness)
• Probieren Sie einfache Payloads: ../../../../etc/passwd, ..\..\..\..\etc\passwd, doppelt kodierte Versionen (..%2f..%2fetc/passwd). (owasp.org)
• Wenn es gelingt, lesen Sie /etc/passwd – enthüllt Benutzerdaten, dann planen Sie weitere Schritte für Anmeldeinformationen, lokale Dateiexposés oder Code-Lesen.

2. Archiv-Extraktion / Zip Slip im Container

• Das Ziel-Component entpackt oder extrahiert ein Archiv (zip, tar, tar.gz) im Container oder auf dem Host, ohne die Pfade der Einträge zu validieren.
• Das bösartige Archiv enthält eine Datei mit einem Pfad wie ../../../../etc/passwd oder absolute Pfade /etc/passwd.
• Beim Entpacken landet die Datei im Systempfad des Containers (oder manchmal auf dem Host), weil die Logik einfach dest + header.Name nach clean() nutzt, ohne die Directory-Exit-Überprüfung.
• In CVE-2025-62156 war diese Logik in Argo Workflows’ executor.go: filepath.Join(dest, filepath.Clean(header.Name)), ohne zu prüfen, ob header.Name innerhalb von dest bleibt. (OffSeq Threat Radar)
• Ergebnis: Angreifer überschreiben oder schreiben in /etc/passwd, was Kontrolle über Benutzerkonten im Container ermöglicht. Von dort: Container-Entkommen, Privilegienerhöhung, laterale Bewegungen.

3. Interne/Side-Channel-Traversal in Microservices

• Ein interner Microservice, nur innerhalb des Netzwerks zugänglich, erhält einen JSON-Body wie { "path": "reports/2025.csv" }.
• Angreifer leiten den Traffic via SSRF oder Proxy um, um diesen Microservice zu treffen, und senden Payloads wie ../../../../etc/passwd.
• Sie nutzen die Schwäche, dass interne Dienste oft schwächere Filter haben. Der Leitfaden vom Mai 2025 zeigt diese Methodik. (yeswehack.com)

4. Missbrauch von Container-Image-Schichten & Escape

• Obwohl kein reines ../etc/passwd-Szenario, nutzen Angreifer Schwachstellen in der Layer-Struktur und im Dateisystem, um schädliche Dateien in Image-Schichten einzuschleusen (siehe „gh0stEdit“-Papier). (arXiv)
• Ein Traversal- oder fehlerhafter Entpackungspfad in Kombination mit falschen Container-Berechtigungen kann zu Host-Entkommen oder Root im Container führen.

---

Praxisbeispiele & aktuelle CVEs (2025)

Hier einige konkrete Schwachstellen, die Path Traversal 2.0 in Aktion zeigen:

• CVE-2025-62156 (Argo Workflows) — Hochkritisch; ermöglicht beliebige Dateierstellung/-überschreibung wie /etc/passwd im Container via Zip Slip Pfad-Exploits bei Artefakt-Extraktion. (OffSeq Threat Radar)
• CVE-2025-41242 (Spring Framework) — Mittelschwer; Path Traversal in Spring bei Einsatz auf nicht-konformen Servlet-Containern, die statische Ressourcen bereitstellen. (Home)
• CVE-2025-30208 (Vite Dev Server) — Beliebiges Dateilesen im Vite Dev Server via @fs-Pfadalias, was Path Traversal ermöglicht. (OffSec)

Diese zeigen, dass selbst im Jahr 2025 Path Traversal weiterhin verbreitet und im Wandel ist.

---

Warum das Lesen von /etc/passwd immer noch so wichtig ist

Sie fragen vielleicht: „Ok, /etc/passwd lesen – was bringt das?“ Hier die Gründe, warum es für Angreifer, besonders in Container- und Host-Kontexten, nach wie vor ein bedeutendes Ziel ist:

• Benutzer-Enumeration: Die Datei zeigt Benutzernamen, UIDs, Shells und Home-Verzeichnisse. Das hilft Angreifern, privilegierte Konten (UID 0 = root) oder spezielle Konten zu identifizieren.
• Privilegienerhöhung: Wenn der Angreifer /etc/passwd lesen kann und anschließend eine schreibbare /etc/shadow (oder andere Fehlkonfigurationen) findet oder einen Benutzer durch Überschreiben injiziert, kann er Privilegien erhöhen.
• Persistenz & Container-Entkommen: Das Überschreiben von /etc/passwd im Container ermöglicht es, einen Root-Benutzer im Container zu erstellen. Wenn Container-Berechtigungen nicht streng isoliert sind, kann dies zu Host-Entkommen führen.
• Vorlage für weitere Aktionen: Zugriff auf /etc/passwd kann lokale Hosts, Service-Accounts offenlegen oder beim Pivoting helfen, um interne Netzwerke zu erreichen.

In Container-Umgebungen ist Path Traversal oder bösartiges Archiv-Extrahieren, das zu /etc/passwd-Schreibzugriff führt, besonders gefährlich.

---

Bedrohungsflächen abfragen: Container, Cloud & Workflows

Lassen Sie uns den Blick weiten und überlegen, warum die Container- und Cloud-Umgebung das Risiko erhöht.

Containerisierung erhöht den Radius

Container isolieren Prozesse per Design, aber viele Deployments erlauben noch immer, dass Container-Prozesse als root laufen, Mount-Rechte haben oder Host-Namensräume teilen. Wenn ein Angreifer durch Path Traversal entkommt (z.B. Schreibzugriff auf /etc/passwd, Laden eines Root-Users), kann er Root im Container erlangen. Von dort sind laterale Bewegungen auf Host oder andere Container möglich (besonders in Multi-Tenant-Umgebungen).

Archiv-/Zip-Extraktion ist ein häufiger „latenter“ Vektor

Viele Microservices oder Workflows akzeptieren hochgeladene Artefakte, ZIP-Logs, Backups oder Container-Schichten. Wenn der Entpack-Code Pfade nicht validiert (Zip Slip oder Path Traversal in Archiven), craften Angreifer bösartige Archive, um Dateien außerhalb des vorgesehenen Verzeichnisses zu schreiben. Das zeigt die Schwachstelle in Argo Workflows: bösartiges Archiv → Entkommen aus Verzeichnis → Schreiben nach /etc/passwd. (OffSeq Threat Radar)

Vertrauensgrenzen verschieben sich in cloud-native Stacks

Moderne Systeme basieren auf vielen Schichten: CI/CD-Pipelines, Artefakt-Repositorys, Container-Registries, Cloud-Objektspeicher, Orchestrierungs-Engines. Angreifer zielen auf weniger sichere Komponenten (z.B. Artefakt-Repository), um bösartige Archive zu liefern, die von der Pipeline konsumiert und in Produktion deployed werden. Ein Path-Traversal-Bug bei einem Schritt wird zu einem ernsthaften Entkommen-Vektor. Zusätzlich zeigt die Forschung („Characterizing Trust Boundary Vulnerabilities in TEE Containers“, Aug 2025), dass einige für Confidential Computing konzipierte Container die Isolierung nicht richtig durchsetzen – was Türen für Traversal oder Escape öffnet. (arXiv)

---

Erkennung & Ausnutzung von Path Traversal in modernen Systemen

Hier einige praktische Schritte (für Red Teams/Pen-Tester), um Path Traversal- und Container-Entkommen-Szenarien zu erkennen und zu bewerten:

Erkennungs-Checkliste

• Identifizieren Sie Endpunkte, die Dateipfad / Name / Download / Ansicht / Export / Archiv-Parameter akzeptieren. Beispiel-Parameter: file, path, template, doc, report. (System Weakness)
• Grundlinie: Senden Sie eine Anfrage mit einer bekannten sicheren Datei und beobachten Sie Antwort (Statuscode, Größe, Inhalt).
• Payloads verwenden: ../../../../etc/passwd ..\..\..\..\etc\passwd %2e%2e/%2e%2e/%2e%2fetc/passwd /etc/passwd

Laut OWASP: Achten Sie auf Kodierungen, Null-Bytes (%00), doppelte Kodierungen etc. (owasp.org) * Für Archiv-Extraktion: Laden oder triggern Sie einen Extraktionsjob mit einem manipulierten Archiv, das ../../../../etc/passwd oder absolute Pfade /etc/passwd enthält. Überprüfen Sie, ob die Datei im Dateisystem des Containers erscheint oder der Service anders reagiert. * Im Container/CI/CD-Kontext: Überwachen Sie Container-Erstellungslogs, Dateischreibvorgänge, Dateisystem-Entkommen. Nutzen Sie Host-Inspektion, um zu prüfen, ob /etc/passwd oder andere Systemdateien modifiziert wurden.

Exploitation & Impact-Bewertung

• Wenn Sie lesen können, erfassen Sie den Inhalt von /etc/passwd und suchen Sie nach privilegierten Konten (UID 0, root).
• Wenn Sie schreiben/überschreiben können, könnten Sie einen Root-Benutzer hinzufügen, Shell auf /bin/bash ändern etc. Versuchen Sie, eine Shell zu starten oder Privilegien zu erhöhen.
• Im Container-Kontext: Sobald Sie Root im Container haben, versuchen Sie mount, cat /proc/1/ns/mnt, docker exec oder entdecken Sie Host-Mounts oder Privilegien, die Host-Entkommen erlauben.
• Environment abbilden: Suchen Sie nach /proc/self/environ, /proc/mounts, /proc/net/tcp etc. (klassischer Folge-Schritt bei Path Traversal). (invicti.com)

Bypass-Techniken

• Kodierungen verwenden: %2e%2e/, ..%2f, doppelte Kodierung, Null-Byte %00 (abhängig von Umgebung). (owasp.org)
• Alternative Trennzeichen: Windows ..\ vs Unix ../.
• Traversaltiefe erhöhen: manchmal blockiert die Anwendung Muster bei bestimmten Tiefen; auf 6-12 Ebenen erhöhen. (System Weakness)
• Mit SSRF oder falsch konfigurierte Proxys kombinieren: Traversal-Payloads über interne Endpunkte senden. (yeswehack.com)

---

Gegenmaßnahmen & Best Practices für 2025

Um sich gegen Path Traversal 2.0-Angriffe zu schützen — insbesondere in Container-, CI/CD- und Cloud-Kontexten — sollten Sie einen mehrschichtigen Ansatz verfolgen:

Eingabekontrolle & Pfad-Sanitisierung

• Vermeiden Sie die direkte Verwendung von benutzerkontrollierten Eingaben beim Aufbau von Dateipfaden. Bevorzugen Sie Whitelisting erlaubter Dateinamen oder Verzeichnisnamen. (invicti.com)
• Für Dateipfade verwenden Sie Funktionen wie realpath() oder Äquivalente, um den absoluten Pfad aufzulösen, und prüfen Sie, ob er innerhalb des vorgesehenen Basisverzeichnisses liegt. (yeswehack.com)
• Verlassen Sie sich nicht ausschließlich auf Blacklist-Filter für ../, ..\, oder Kodierungsmuster – diese können umgangen werden. (invicti.com)

Sicheres Archiv- und Entpacken-Handling

• Beim Entpacken von Archiven (zip, tar) in Containern oder Workflows validieren Sie, dass jeder Eintrag innerhalb des vorgesehenen Extraktionsverzeichnisses bleibt. Z.B. nicht einfach dest + clean(entry.name) verwenden, ohne weitere Checks. Siehe CVE-2025-62156. (OffSeq Threat Radar)
• Erwägen Sie die Verwendung von Entpackungsbibliotheken, die standardmäßig „kein Traversal“ erzwingen, oder implementieren Sie eigene Logik, um zu prüfen, ob resolved_path.startsWith(dest_dir).
• Führen Sie das Entpacken in einem nicht-privilegierten Container durch (Least Privilege), verwenden Sie schreibgeschützte Root-Dateisysteme, wenn möglich, und reduzieren Sie Container-Capabilities.

Laufzeitschutz im Container / Host

• Konfigurieren Sie Container so, dass sie möglichst nicht als root laufen.
• Verwenden Sie schreibgeschützte Root-Dateisysteme für Container, die kein Schreibrecht auf das Host-Dateisystem benötigen.
• Wenden Sie Kubernetes PodSecurityPolicies (oder Äquivalentes) an, um Volume-Mounts, Host-Namensräume, Privilegien und hostPath-Mounts zu beschränken.
• Überwachen Sie unerwartete Dateimodifikationen: z.B. /etc/passwd, /etc/shadow, /etc/hosts, Binärdateien oder geänderte Berechtigungen. Hochleistungsfähige VM-Inspektion und Dateimonitoring für Container entwickeln sich. (arXiv)
• Halten Sie Ihre Orchestrierungs- und Workflow-Engines aktuell. Beispiel: Upgrades auf Argo Workflows Versionen 3.6.12 oder 3.7.3 zur Behebung von CVE-2025-62156. (OffSeq Threat Radar)

Sicheres CI/CD-Pipeline & Artefakt-Handling

• Validieren Sie hochgeladene Artefakte – Archivdateien sollten vor automatischem Entpacken gescannt und saniert werden.
• Begrenzen Sie interne Artefakt-Repositorys und Entpackdienste auf vertrauenswürdige Quellen; vermeiden Sie öffentliche, unkontrollierte Uploads, die in interne Prozesse gelangen.
• Durchsetzen Sie Supply-Chain-Security: Container-Image-Signaturen, unveränderliche Registries, Schicht-Scanning auf bösartige Änderungen (siehe „gh0stEdit“). (arXiv)

Überwachung, Logging & Incident Response

• Aktivieren Sie Protokollierung bei Dateisystemoperationen in Containern (insbesondere Erzeugung/Schreibvorgänge in Systemverzeichnissen).
• Nutzen Sie Laufzeitsicherheits-Tools (Runtime Application Self-Protection, Host Intrusion Detection Systems), um ungewöhnliches Verhalten zu erkennen, z.B. Schreiben nach /etc/passwd oder Laden unerwarteter Shells.
• Führen Sie regelmäßig Sicherheitsscans (DAST/SAST) auf Schwachstellen im Path Traversal durch. (invicti.com)

---

SEO-optimierte Zusammenfassung: Kernaussagen

• Path Traversal 2.0 ist nicht nur das alte „../../etc/passwd“ in Web-Apps – es sind Container-Entkommen, Archiv-Entpack-Bugs, Workflow-Engines und Cloud-native Microservices.
• Das Lesen oder Überschreiben von /etc/passwd bleibt ein hochwirksamer Angriffspunkt: Enumeration, Privilegienerhöhung, Container-Entkommen.
• Aktuelle CVEs (z.B. CVE-2025-62156 in Argo Workflows) zeigen diese Entwicklung.
• Detection erfordert moderne Techniken: Prüfen von Archiv-Endpoints, internen APIs, Dateisystemen in Containern.
• Gegenmaßnahmen müssen Input-Validierung, sicheres Entpacken, Container-Isolierung, Artefakt-Pipeline-Härtung und Laufzeitüberwachung umfassen.
• Im cloud-nativen Jahr 2025 ist Path Traversal kein „Web-Bug“ mehr – es ist eine Plattform-übergreifende Bedrohung.

---

Abschlussworte

Ob Sie Entwickler für Webdienste sind, DevOps-Engineer für Container-Infrastruktur oder Sicherheitsfachmann für moderne Pipelines – die Bedrohung durch Path Traversal hat sich gewandelt. Der Schlüssel ist, Dateizugriffsgrenzen als Vertrauensgrenzen zu behandeln: Wenn benutzerkontrollierte Eingaben oder unchecked Archives Dateipfade diktieren können, setzen Sie sich Risiken aus. Selbst ein einfacher „Lesen /etc/passwd“ kann der erste Schritt zu einem vollständigen Container-Entkommen sein.

Bleiben Sie wachsam. Sensibilisieren Sie Ihr Team. Überprüfen Sie Ihre Entpack-Logik, Container-Berechtigungen und interne APIs. Denn im Jahr 2025 ist Path Traversal 2.0 real – und die Einsätze sind höher denn je.

---

Meta-Hinweis (für SEO) Fokus-Keywords: path traversal 2025, container escape traversal, /etc/passwd read container, Zip Slip container vulnerability, CVE 2025 path traversal, directory traversal modern api. Verwenden Sie H2-Überschriften für Klarheit, Bullet-Lists für bessere Lesbarkeit und verlinken Sie auf aktualisierte CVEs sowie wissenschaftliche Studien für Autorität.

---

Disclaimer: Dieser Artikel dient nur zu Bildungszwecken. Holen Sie stets die Erlaubnis ein, bevor Sie Systeme auf Schwachstellen testen.