CVE-2023-37460
Təsvir
Plexis Archiver, vahid `Archiver`/`UnArchiver` API-si ilə arxivlər yaratmaq və ya arxivləri qovluğa çıxarmaq üçün Plexus komponentlərinin toplusudur. 4.8.0 versiyasından əvvəl arxivin çıxarılması üçün AbstractUnArchiver-dən istifadə ixtiyari fayl yaradılmasına və mümkün uzaqdan kodun icrasına səbəb ola bilərdi. Arxiv çıxarılarkən təyinat qovluğunda artıq mövcud olan və hədəfi mövcud olmayan simvolik keçid kimi olan giriş olduqda, `resolveFile()` funksiyası hədəf əvəzinə simvolik keçidin mənbəyini qaytarır və bu, faylın təyinat qovluğundan kənara çıxarılmayacağını təmin edən yoxlamadan keçir. Daha sonra standart olaraq simvolik keçidləri izləyən `Files.newOutputStream()` əslində girişin məzmununu simvolik keçidin hədəfinə yazır. Etibarsız arxivi çıxarmaq üçün plexus archiver-dən istifadə edən hər kəs ixtiyari fayl yaradılması və mümkün uzaqdan kodun icrası riskinə məruz qalır. 4.8.0 versiyası bu problem üçün düzəliş ehtiva edir.
Necə düzəltmək olar
- codehaus-plexus plexus-archiver4.8.0 və ya daha yeni versiya
- org.codehaus.plexus:plexus-archiver4.8.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| codehaus-plexus plexus-archiver | v < 4.8.0 | 4.8.0 |
| org.codehaus.plexus:plexus-archiverMaven | v < 4.8.0 | 4.8.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.