CVE-2026-54550
Açıklama
IzPack, uygulamaları Java platformunda çapraz platform yükleyicileri olarak paketlemek için yaygın olarak kullanılan bir araçtır. 5.2.6 ve önceki sürümlerde, izpack-installer/src/main/java/com/izforge/izpack/installer/unpacker/UnpackerBase.java içindeki UnpackerBase.unpack(), saldırgan tarafından kontrol edilen bir PackFile targetPath değeri alır; bunu yalnızca ayırıcıları dönüştüren IoHelper.translatePath() üzerinden geçirir ve üst dizin bölümlerini normalize etmeden veya hedef kapsamasını zorlamadan bir File oluşturur. Bu nedenle, ../ dizileri içeren kötü amaçlı bir yükleyici paket girdisi, kurban yükleyiciyi çalıştırdığında başlangıç klasörlerine, yürütülebilir dosya arama yollarına veya kurbanın yetkileriyle erişilebilen diğer konumlara, hedeflenen kurulum dizininin dışına yazabilir.
Nasıl düzeltilir
- org.codehaus.izpack:izpack-installer5.2.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| org.codehaus.izpack:izpack-installerMaven | v < 5.2.7 | 5.2.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.