アーカイブ展開に脆弱性「Zip Slip」 - 多数ソフトウェアに影響
細工されたアーカイブファイルを処理させることで、特定の場所にファイルを展開させることが可能となる脆弱性「Zip Slip」が判明した。影響を受けるソフトウェアは多く、悪用されるとリモートよりコードを実行されるおそれがあるという。

「Zip Slip」のロゴ
同脆弱性は、英Snykが公表したもの。多数のライブラリやプロジェクトが影響を受けるとしており、同社では「Zip Slip」と名付けた。
サーバ環境、クライアント環境のいずれも影響を受けるとしており、アプリケーション開発フレームワークなどで開発し、ファイルをアップロードできる環境など攻撃の対象となるおそれがある。
ファイル名の処理に起因しており、脆弱性が存在するソフトウェアやライブラリを利用する環境で細工されたファイルがシステム上へ配置され、攻撃者やシステムによって処理されると、ディレクトリトラバーサルが発生。ファイルが保存、上書きされ、結果として悪意あるコードを実行されるおそれもある。
同社は、「JavaScript」「Ruby」「.NET」「Go」などで開発された環境が影響受けると説明しており、特に中心的なライブラリを持たない「Java」に注意が必要であると指摘した。
(Security NEXT - 2018/06/06 )
ツイート
PR
関連記事
「Cisco ISE」に深刻な脆弱性、root権限奪取も - 修正版を公開
「NetScaler ADC/Gateway」にゼロデイ脆弱性 - 早急に更新を
「Firefox 140」がリリース - 脆弱性13件を解消
「Kibana」に深刻な脆弱性 - 「Chromium」の既知脆弱性に起因
Salesforceのローコード開発ツールに脆弱性 - 設定リスクの指摘も
Gitサーバ「Gogs」にRCE脆弱性 - 過去の修正不備に起因
「Chrome 138」を公開 - 11件のセキュリティ修正
「WinRAR」にディレクトリトラバーサルの脆弱性 - 修正版を公開
サーバ管理ツール「Convoy」に深刻な脆弱性 - アップデートがリリース
ブラウザ「MS Edge」に関する脆弱性2件を解消 - MS