CVE-2022-26612
Açıklama
Apache Hadoop'ta, unTar fonksiyonu Windows üzerinde unTarUsingJava fonksiyonunu; Unix ve diğer işletim sistemlerinde ise yerleşik tar aracını kullanır. Bunun sonucunda, bir TAR girdisi beklenen çıkarma dizini altında harici bir dizine işaret eden bir sembolik bağlantı oluşturabilir. Sonraki bir TAR girdisi, sembolik bağlantı adını kullanarak harici dizine rastgele bir dosya çıkarabilir. Ancak bu durum, Unix üzerinde getCanonicalPath çağrısı nedeniyle aynı targetDirPath kontrolü tarafından yakalanır. Öte yandan Windows'ta getCanonicalPath sembolik bağlantıları çözümlemez ve bu da kontrolün atlatılmasına neden olur. TAR çıkarma işlemi sırasındaki unpackEntries sembolik bağlantıları takip eder, bu da Windows'ta beklenen temel dizinin dışına yazılmasına olanak tanır. Bu sorun Apache Hadoop 3.2.3 sürümünde giderilmiştir.
Nasıl düzeltilir
- apache hadoop3.2.3 ya da sonraki bir sürüm
- org.apache.hadoop:hadoop-common3.2.3, 2.10.2, 3.3.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache hadoop | v < 3.2.3, 3.3.1, 3.3.2 | 3.2.3 |
| org.apache.hadoop:hadoop-commonMaven | 3.2.0 ≤ v < 3.2.3, v < 2.10.2, 3.3.0 ≤ v < 3.3.3 | 3.2.3, 2.10.2, 3.3.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.