Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

アーカイブ展開に脆弱性「Zip Slip」 - 多数ソフトウェアに影響

細工されたアーカイブファイルを処理させることで、特定の場所にファイルを展開させることが可能となる脆弱性「Zip Slip」が判明した。影響を受けるソフトウェアは多く、悪用されるとリモートよりコードを実行されるおそれがあるという。

20180606_sn_001.jpg
「Zip Slip」のロゴ

同脆弱性は、英Snykが公表したもの。多数のライブラリやプロジェクトが影響を受けるとしており、同社では「Zip Slip」と名付けた。

サーバ環境、クライアント環境のいずれも影響を受けるとしており、アプリケーション開発フレームワークなどで開発し、ファイルをアップロードできる環境など攻撃の対象となるおそれがある。

ファイル名の処理に起因しており、脆弱性が存在するソフトウェアやライブラリを利用する環境で細工されたファイルがシステム上へ配置され、攻撃者やシステムによって処理されると、ディレクトリトラバーサルが発生。ファイルが保存、上書きされ、結果として悪意あるコードを実行されるおそれもある。

同社は、「JavaScript」「Ruby」「.NET」「Go」などで開発された環境が影響受けると説明しており、特に中心的なライブラリを持たない「Java」に注意が必要であると指摘した。

(Security NEXT - 2018/06/06 ) このエントリーをはてなブックマークに追加

PR

関連記事

「WordPress」向けAMP対応プラグインに深刻な脆弱性 - アップデートで修正
11月のMS月例パッチ修正された脆弱性、中東のゼロデイ攻撃で悪用済み
【修正あり】MS、月例パッチで脆弱性62件を修正 - ゼロデイ脆弱性などに対処
「Adobe Acrobat/Reader」に脆弱性、実証コードが公開済 - 早急に更新を
「VMware vRealize Log Insight」に認証回避の脆弱性
「VMware ESXi」に深刻な脆弱性 - ホスト上でコード実行のおそれ
「Adobe Acrobat/Reader」に悪用リスク高い脆弱性 - 早期適用推奨のアップデートが13日に公開予定
「Adobe Flash Player」に情報漏洩の脆弱性 - 悪用は未確認
「WordPress」の人気eコマースプラグインに脆弱性 - 権限昇格のおそれ
「Chrome 70.0.3538.102」がリリース - セキュリティ関連の修正は3件