Yangiliklar 2 daqiqa o‘qish

Arxivni ochish kutubxonalari xavfli «Zip Slip» zaifligiga moyil.

Arxivni ochish kutubxonalari xavfli

Ushbu muammo arxivni asosiy katalogdan tashqarida ochish va muhim fayllar ustidan yozib yuborish imkonini beradi.

Synk jamoasi mutaxassislari arxiv fayllari bilan ishlovchi Java, JavaScript, Python, Ruby, .NET, Go va Groovy tillaridagi ochiq kodli kutubxonalarga taʼsir ko‘rsatuvchi «Zip Slip» nomli jiddiy zaiflik haqida batafsil maʼlumotlarni eʼlon qildilar. Muammo arxivni ochish jarayonining amalga oshirilish usulidan kelib chiqadi: bu jarayon arxivni asosiy katalogdan tashqarida ochishga va tizim kutubxonalari, server konfiguratsiya fayllari hamda boshqa muhim fayllarni ustidan yozib yuborishga imkon beradi. Ushbu zaiflik tar, jar, war, cpio, apk, rar va 7z kabi turli formatlarga taʼsir qiladi.

Hujumchi «../../» ketma-ketliklarini o‘z ichiga olgan fayl yo‘liga ega maxsus tayyorlangan arxiv yordamida ushbu zaiflikdan foydalanishi mumkin. Zaif kutubxonalar yordamida fayl arxivdan chiqarilganda, nisbiy yo‘lning tekshirilmasligi sababli fayl arxivning asosiy chiqarish katalogidan tashqaridagi joyga saqlanadi.

Tadqiqotchilarning fikricha, bu muammo asosan Java kutubxonalariga ta’sir qiladi, chunki arxiv fayllari bilan ishlash uchun rasman tavsiya etilgan vosita mavjud emas. Shu sababli, dasturchilar ko‘plab muqobil yechimlarni yaratadilar va ularning aksariyati «Zip Slip» zaifligiga moyil bo‘ladi. Dasturchilarning Stack Overflow platformasida zaiflikka ega kod parchalarini o‘zaro ulashishi ushbu muammoning keng tarqalishiga qo‘shimcha turtki beradi; natijada, ko‘plab dasturchilar bilmagan holda o‘zlarining Java ilovalariga «Zip Slip» zaifligini kiritib qo‘yishlari mumkin.

Zaiflikka ega kutubxonalardan foydalanadigan yechimlar qatoriga npm paket menejeri, Google Cloud platformasi, Oracle mahsulotlari, Amazon CodePipeline, AWS Toolkit for Eclipse, IBM DataPower, Alibaba JStorm, Twitter Heron, Apache Storm, Apache Hadoop, Apache Ant, Apache Maven, Apache Hive, HP Fortify Cloud Scan Jenkins plagini va OWASP DependencyCheck kiradi. Zaiflikka ega loyihalarning to‘liq ro‘yxati GitHub’da mavjud.

Mutaxassislar, shuningdek, zaiflikdan foydalanish jarayonini namoyish etuvchi videoni taqdim etdilar:

O‘xshash maqolalar