CVE-2021-39208
Təsvir
SharpCompress müxtəlif sıxılma növləri və formatları ilə işləmək üçün tam idarə olunan C# kitabxanasıdır. 0.29.0 versiyasından əvvəlki versiyalar qismən yol keçidi (partial path traversal) zəifliyinə məruzdur. Əgər seçimlərdə ExtractFullPath true olaraq təyin edilibsə, SharpCompress destinationDirectory altında kataloqlar iyerarxiyasını yenidən yaradır. Faylların hədəf kataloqundan kənara çıxarılmasının qarşısını almaq üçün destinationFileName yolunun fullDestinationDirectoryPath ilə başladığı yoxlanılır. Lakin 0.29.0 versiyasından əvvəl fullDestinationDirectoryPath-in slash ilə bitməsi tələb olunmurdu. Əgər destinationDirectory `/home/user/dir` kimi slash ilə bitmirsə, kataloqun bir səviyyə yuxarısında, hədəf kataloqunun adı ilə başlayan fayl yaratmaq mümkündür, məsələn: `/home/user/dir.sh`. Fayl adı və hədəf kataloqu məhdudiyyətlərinə görə, ixtiyari fayl yaradılması təsiri məhduddur və istifadə ssenarisindən asılıdır. Bu problem SharpCompress 0.29.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- sharpcompress_project sharpcompress0.29.0 və ya daha yeni versiya
- SharpCompress0.29 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| sharpcompress_project sharpcompress | v < 0.29.0 | 0.29.0 |
| SharpCompressNuGet | v < 0.29 | 0.29 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.