BDU:2018-00938

Опубликовано: 25 июл. 2018

Источник: fstec

CVSS3: 9.6

CVSS2: 7.5

EPSS Средний

Описание

Уязвимость функции extractDir библиотеки Node.js для работы с zip-файлами Adm-zip связана с неверным ограничением имени пути к каталогу. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код с использованием специально созданного архива

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

Adm-zip

Версия ПО

0.4.8 (Adm-zip)

0.4.7 (Adm-zip)

0.4.6 (Adm-zip)

0.4.5 (Adm-zip)

0.4.4 (Adm-zip)

0.4.3 (Adm-zip)

0.4.0 (Adm-zip)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,5)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,6)

Возможные меры по устранению уязвимости

Рекомендации по устранению: обновление программного обеспечения до версии 0.4.9 или выше

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2018-1002204
CVE

EPSS

Процентиль: 97%

0.15359

Средний

9.6 Critical

CVSS3

7.5 High

CVSS2

Связанные уязвимости

CVE-2018-1002204

CVSS3: 5.3

redhat

больше 11 лет назад

adm-zip npm library before 0.4.9 is vulnerable to directory traversal, allowing attackers to write to arbitrary files via a ../ (dot dot slash) in a Zip archive entry that is mishandled during extraction. This vulnerability is also known as 'Zip-Slip'.

CVE-2018-1002204

CVSS3: 5.5

nvd

около 8 лет назад

GHSA-3v6h-hqm4-2rg6