CVE-2025-3445

mholt/archiver içinde Go dilinde bir Yol Geçişi "Zip Slip" güvenlik açığı tespit edilmiştir. Bu güvenlik açığı, yol geçişi sembolik bağlantıları içeren özel olarak hazırlanmış bir ZIP dosyasının kullanılmasıyla, kullanıcının ayrıcalıklarıyla veya kütüphaneyi kullanan uygulamayla dosya oluşturulmasına veya üzerine yazılmasına olanak tanır. ZIP dosyalarıyla archiver.Unarchive işlevselliği şu şekilde kullanıldığında: archiver.Unarchive(zipFile, outputDir), özel olarak hazırlanmış bir ZIP dosyası, bu güvenlik açığı içeren işlevselliği yürüten uygulamayla aynı ayrıcalıklarla etkilenen sisteme dosyalar yazacak şekilde çıkarılabilir. Sonuç olarak, hassas dosyaların üzerine yazılabilir ve bazı durumlarda bu durum yetki yükseltme, kod çalıştırma ve diğer ciddi sonuçlara yol açabilir. Benzer bir güvenlik açığının TAR dosyalarında bulunduğunu belirtmek gerekir (CVE-2024-0406). Bir düzeltme uygulanmış olsa da resmi olarak yayımlanmamıştır ve etkilenen proje o zamandan beri kullanımdan kaldırılmıştır. mholt/archiver'ın halefi mholt/archives adlı yeni bir projedir ve ilk sürümü (v0.1.0) Unarchive() işlevselliğini kaldırmaktadır.