CVE-2019-0191
Təsvir
Apache Karaf kar deployer .kar arxivlərini oxuyur və zip faylındakı "repository/" və "resources/" girişlərindən yolları çıxarır. Daha sonra bu yolların məzmununu Karaf repo və resources kataloqlarına yazır. Lakin o, zip faylındakı yollar üzərində heç bir yoxlama aparmır. Bu o deməkdir ki, zərərli istifadəçi ".." kataloq adları olan .kar faylı hazırlayaraq kataloqlardan kənara çıxa və fayl sisteminə ixtiyari məzmun yaza bilər. Bu, "Zip-slip" zəifliyidir - https://snyk.io/research/zip-slip-vulnerability. Əgər Karaf proses istifadəçisinin fayl sistemində məhdud icazələri varsa, bu zəiflik aşağı dərəcəlidir. 4.2.3 versiyasından əvvəlki bütün Apache Karaf buraxılışları təsirlənmişdir.
Necə düzəltmək olar
- apache karaf4.2.3 və ya daha yeni versiya
- org.apache.karaf:karaf4.2.3 və ya daha yeni versiya
- org.apache.karaf:apache-karaf4.2.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache karaf | v < 4.2.3 | 4.2.3 |
| org.apache.karaf:karafMaven | v < 4.2.3 | 4.2.3 |
| org.apache.karaf:apache-karafMaven | v < 4.2.3 | 4.2.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.