Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

アーカイブ展開に脆弱性「Zip Slip」 - 多数ソフトウェアに影響

細工されたアーカイブファイルを処理させることで、特定の場所にファイルを展開させることが可能となる脆弱性「Zip Slip」が判明した。影響を受けるソフトウェアは多く、悪用されるとリモートよりコードを実行されるおそれがあるという。

20180606_sn_001.jpg
「Zip Slip」のロゴ

同脆弱性は、英Snykが公表したもの。多数のライブラリやプロジェクトが影響を受けるとしており、同社では「Zip Slip」と名付けた。

サーバ環境、クライアント環境のいずれも影響を受けるとしており、アプリケーション開発フレームワークなどで開発し、ファイルをアップロードできる環境など攻撃の対象となるおそれがある。

ファイル名の処理に起因しており、脆弱性が存在するソフトウェアやライブラリを利用する環境で細工されたファイルがシステム上へ配置され、攻撃者やシステムによって処理されると、ディレクトリトラバーサルが発生。ファイルが保存、上書きされ、結果として悪意あるコードを実行されるおそれもある。

同社は、「JavaScript」「Ruby」「.NET」「Go」などで開発された環境が影響受けると説明しており、特に中心的なライブラリを持たない「Java」に注意が必要であると指摘した。

(Security NEXT - 2018/06/06 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Acronis True Image」に脆弱性、アップデートで修正
Western DigitalのNAS製品「My Cloud」に深刻な脆弱性
「WordPress」にアップデート、複数脆弱性を解消 - 旧版利用者は注意
「NVIDIA App」「Nsight Graphics」に脆弱性 - アップデートを公開
「VMware Aria Operations」や「VMware Tools」に脆弱性 - 修正版を公開
Doxense製プリントサーバ管理ソフト「Watchdoc」に深刻な脆弱性
構成管理ツール「Chef Automate」に深刻な脆弱性 - 9月初旬に修正
「Rancher Manager」に脆弱性 - フィッシング悪用や情報漏洩のおそれ
メールセキュ製品「Libraesva ESG」に脆弱性 - すでに悪用も、国家関与か
仮想化基盤「vCenter Server」「NSX」に脆弱性 - アップデートが公開