アーカイブファイル関連の脆弱性「Zip Slip」、大手プロジェクト多数に影響

セキュリティ企業Snykによると、Zip Slipの脆弱性は、HPやAmazon、Apache、Pivotalなどを含め、数千ものプロジェクトに影響を及ぼすという。 オープンソース製品のセキュリティ対策を手掛けるSnyk Securityは6月5日、アーカイブファイルの処理に関連して、多数のオープンソースプロジェクトに影響を及ぼす重大な脆弱性を発見したと発表した。 同社はこの脆弱性を「Zip Slip」と命名。HPやAmazon、Apache、Pivotalなどを含め、数千ものプロジェクトに影響が及ぶと説明している。 Snykによると、Zip Slipの脆弱性は、JavaScript、Ruby、.NET、Goといった複数のエコシステムで発見され、特にJavaで蔓延していることが判明した。「tar」「jar」「war」「cpio」「apk」「rar」「7z」など、膨大な数のアーカイブフォーマ

[houyhnhm]

圧縮されたファイルのパスに「../../」等が含まれている場合にディレクトリトラバーサルが発生するようで。

[lowpowerschottky]

“「tar」「jar」「war」「cpio」「apk」「rar」「7z」などのアーカイブフォーマットが影響を受ける”

[zu2]

“Zip Slipの脆弱性は、JavaScript、Ruby、.NET、Goといった複数のエコシステムで発見され、特にJavaで蔓延していることが判明した”

[daybeforeyesterday]

うーむ

[mkusunok]

これは気になる脆弱性。Zipフォーマットを使ってるODFやOOXMLは大丈夫かな

[Cald]

なにこれ

[deep_one]

アーカイブファイルの解凍に脆弱性があるのか？

[yarumato]

“tar jar war cpio apk rar 7zなど、膨大な数のアーカイブフォーマットが影響を受ける。 細工を施したアーカイブで脆弱性を悪用されれば、任意のファイルが上書きされ、リモートでコマンドを実行される恐れがある”

[kenzy_n]

圧縮ファイル関連は影響が大きい