La vulnérabilité « zip » affecte des milliers de projets dans de nombreux écosystèmes

Les chercheurs en sécurité de la société de logiciels britannique Snyk ont ​​révélé les détails d’une vulnérabilité critique qui affecte des milliers de projets dans de nombreux écosystèmes et qui pourrait être exploitée par des attaquants afin d’obtenir l’exécution de code sur les systèmes cibles.

Surnommé « Slip Zip , » la question est une vulnérabilité de réécriture de fichier arbitraire qui déclenche d’une crise directory traversal lors de l’ extraction des fichiers d’une archive et affecte de nombreux formats d’ archives, y compris le goudron, pot, guerre, cpio, apk, rar et 7z.

Des milliers de projets écrits dans divers langages de programmation , y compris JavaScript, Ruby, Java, .NET et Go-Google, Oracle, IBM, Apache, Amazon, Printemps / Pivotal, Linkedin, Twitter, Alibaba, Eclipse, OWASP, ElasticSearch, JetBrains et plus -contenu des codes vulnérables et des bibliothèques.

Est passée inaperçue pendant des années, la vulnérabilité peut être exploitée à l’aide d’un fichier d’archive spécialement conçu qui détient les noms de fichiers traversal d’annuaire, qui, si extrait par un code vulnérable ou une bibliothèque, permettant aux pirates d’fichiers malveillants désarchiver en dehors du dossier où il doit se trouver.

Grâce à cette attaque Zip Slip, un attaquant peut même écraser des fichiers exécutables ou des fichiers de configuration pour une application afin de tromper le système ciblé ou l’utilisateur, « réalisant ainsi l’exécution de commandes à distance sur la machine de la victime ».

"La vulnérabilité peut également causer des dommages en écrasant les fichiers de configuration ou d’autres ressources sensibles, et peut être exploitée à la fois sur les ordinateurs clients et sur les serveurs."

"Le contenu de ce fichier zip doit être fabriqué à la main.Les outils de création d’archives ne permettent généralement pas aux utilisateurs d’ajouter des fichiers avec ces chemins, malgré la spécification zip qui le permet.Mais avec les bons outils, il est facile de créer des fichiers avec ces chemins "

La société a également publié des archives Zip Slip de preuve de concept et a publié une vidéo de démonstration montrant comment les attaquants peuvent exploiter la vulnérabilité Zip Slip.

Depuis le mois d’avril, la société a commencé à divulguer en privé la vulnérabilité Zip Slip à toutes les bibliothèques et responsables de projets vulnérables.

Une liste de toutes les bibliothèques et de tous les projets concernés a également été publiée dans le référentiel GitHub de Snyk, dont certains ont déjà résolu le problème avec la publication des versions mises à jour.

En outre, vous pouvez également lire l’article du blog de Snyk pour en savoir plus sur les codes vulnérables dans différents écosystèmes à travers des exemples d’extraits.

Dans la même rubrique

| 1 | 2 | 3 | 4 | 5 | 6 | 7 | 8 | 9 | ... | 31 |

Actu en image