CVE-2022-44748

KNIME Server 4.3.0 sürümünden itibaren ZIP arşiv çıkarma rutinlerinde bulunan bir dizin gezginliği (directory traversal) zafiyeti, sunucunun dosya sistemindeki rastgele dosyaların üzerine yazılmasına neden olabilir. Bu zafiyet 'Zip-Slip' olarak da bilinmektedir. Bir saldırgan, yüklendiğinde KNIME Server işlemini çalıştıran işletim sistemi kullanıcısının yazma erişimine sahip olduğu rastgele dosyaların üzerine yazabilen bir KNIME iş akışı oluşturabilir. Kullanıcının kimliğinin doğrulanmış olması ve KNIME Server'a dosya yükleme izinlerine sahip olması gerekir. Bu durum veri bütünlüğünü etkileyebilir (dosya içerikleri değiştirilir) veya diğer yazılımlarda hatalara yol açabilir (hayati dosyaların bozulması). Yürütülebilir dosyalar değiştirilirse ve ardından KNIME Server işlem kullanıcısı tarafından çalıştırılırsa, bu durum uzaktan kod çalıştırmaya bile yol açabilir. Ancak tüm durumlarda saldırganın, sunucu dosya sistemindeki dosyaların konumunu bilmesi gerekir. İş akışlarını yükleme iznine sahip kullanıcıların genellikle bunları KNIME Server üzerinde çalıştırma iznine de sahip oldukları ve bu nedenle zaten KNIME Executor'ın işletim sistemi kullanıcısı bağlamında rastgele kod yürütebildikleri unutulmamalıdır. Bu zafiyetin istismar edilmesini önlemek için herhangi bir geçici çözüm bulunmamaktadır. Sabitlenmiş sürümler olan 4.13.6, 4.14.3 veya 4.15.3 sürümlerine güncellenmesi önerilir.