CVE-2018-1000623
Açıklama
JFrog JFrog Artifactory sürüm 6.0.3 öncesinde ve 4.0.0 sürümünden itibaren, Admin menüsü -> Import & Export -> Repositories üzerinden erişilebilen "Import Repository from Zip" özelliğinde bir Directory Traversal zafiyeti bulunmaktadır; bu özellik, Directory traversal / dosya üzerine yazma ve uzaktan kod çalıştırma ile sonuçlanabilecek savunmasız bir UI REST uç noktasını (/ui/artifactimport/upload) tetikler. Bu saldırının, Admin yetkilerine sahip bir saldırganın söz konusu UI uç noktasını kullanarak ve herkes tarafından bilinen "Zip Slip" zafiyetini istismar ederek hedef dizinin dışına dosyalar eklemesi veya mevcut dosyaların üzerine yazması yoluyla gerçekleştirilebildiği görülmektedir. Bu zafiyetin 6.0.3 sürümünde giderildiği anlaşılmaktadır.
Nasıl düzeltilir
- jfrog artifactory6.0.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| jfrog artifactory | 4.0.0 ≤ v < 6.0.3 | 6.0.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.