BDU:2018-00939

Опубликовано: 31 мая 2018

Источник: fstec

CVSS3: 6.3

CVSS2: 7.5

EPSS Средний

Описание

Уязвимость функции extractDir библиотеки для работы с zip-файлами Zip4j связана с неверным ограничением имени пути к каталогу. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код с использованием специально созданного zip-архива

Вендор

Srikanth Reddy Lingala

Наименование ПО

Zip4j

Версия ПО

1.3.2 (Zip4j)

1.3.1 (Zip4j)

1.3.0 (Zip4j)

1.2.9 (Zip4j)

1.2.8 (Zip4j)

1.2.7 (Zip4j)

1.2.6 (Zip4j)

1.2.5 (Zip4j)

1.2.4 (Zip4j)

1.2.3 (Zip4j)

1.2.2 (Zip4j)

1.2.1 (Zip4j)

1.2.0 (Zip4j)

1.1.9 (Zip4j)

1.1.8 (Zip4j)

1.1.7 (Zip4j)

1.1.6 (Zip4j)

1.1.5 (Zip4j)

1.1.4 (Zip4j)

1.1.3 (Zip4j)

1.1.2 (Zip4j)

1.1.1 (Zip4j)

1.1.0 (Zip4j)

1.0.6 (Zip4j)

1.0.5 (Zip4j)

1.0.4 (Zip4j)

1.0.3 (Zip4j)

1.0.2 (Zip4j)

1.0.1 (Zip4j)

1.0.0 (Zip4j)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,5)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,3)

Возможные меры по устранению уязвимости

Рекомендации по устранению: обновление программного обеспечения до версии 1.3.3: https://github.com/snyk/zip-slip-vulnerability

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2018-1002202
CVE

EPSS

Процентиль: 96%

0.13088

Средний

6.3 Medium

CVSS3

7.5 High

CVSS2

Связанные уязвимости

CVE-2018-1002202

CVSS3: 6.3

redhat

около 8 лет назад

zip4j before 1.3.3 is vulnerable to directory traversal, allowing attackers to write to arbitrary files via a ../ (dot dot slash) in a Zip archive entry that is mishandled during extraction. This vulnerability is also known as 'Zip-Slip'.

CVE-2018-1002202

CVSS3: 6.5

nvd

около 8 лет назад

CVE-2018-1002202

CVSS3: 6.5

debian

около 8 лет назад

zip4j before 1.3.3 is vulnerable to directory traversal, allowing atta ...

GHSA-2rpm-4x8c-pvqg

CVSS3: 6.5

github

больше 4 лет назад

Improper Limitation of a Pathname to a Restricted Directory in Zip4j

EPSS

Процентиль: 96%

0.13088

Средний

6.3 Medium

CVSS3

7.5 High

CVSS2