Zip Slip漏洞影响大量项目,多个生态系统受牵连

近期,来自Synk的安全研究专家公布了一个高危漏洞的技术细节信息,而这个漏洞将影响多个负责处理压缩文档文件的开源代码库。

据了解,该漏洞名叫“Zip Slip”,很多能够处理文档文件解压缩的开源编码工具、插件和代码库都会受到该漏洞的影响。其中受影响的文档格式包括tar、jar、war、cpio、apk、rar和7z,这也就意味着该漏洞更是一个底层问题,而不是某种特殊的编码漏洞。

该漏洞将导致文件被解压缩至错误的位置

根据研究人员的描述,Zip Slip漏洞是由一种“任意文件重写”漏洞和“目录遍历”漏洞共同导致的,而这将允许攻击者将目标压缩文档解压缩至非常规解压路径,并重写其中的敏感文件,例如操作系统关键代码库或服务器配置文件等等。

Synk团队在其发表的安全公告中表示:“攻击者在利用该漏洞实施攻击时,需要满足两个条件,首先需要准备一份恶意文档,并在不会进行任何检查验证的情况下进行代码提取。”

研究人员表示,该漏洞发现于今年的四月份,并且他们一直在跟多个开源代码库的维护人员进行合作以尽快解决这个问题。

多个开源代码库受到影响

Synk团队在GitHub上发布了一份受Zip Slip漏洞影响的代码库列表,感兴趣的同学可以点击【阅读原文】查看。

就目前的情况来看,很多采用JavaScript、Python、Ruby、.NET、Go和Groovy等编程语言开发的代码库都会受到Zip Slip漏洞的影响,而受其影响最严重的是Java生态系统,因为在Java生态系统中并不存在官方推荐的用于处理压缩文档的官方代码库。正是为了解决这个问题,很多开发者才通过自己的努力开发除了各种各样用于处理压缩文档的代码库,而在这些代码库中绝大多数都会受到Zip Slip的影响。而且需要注意的是,很多分享在StackOverflow上的代码库都存在Zip Slip漏洞,因此很多采用Java编程语言开发的桌面端、移动端甚至Web应用程序都会受到Zip Slip漏洞的影响,而且大部分开发人员对此都一无所知。

为了帮助开发人员更好地了解Zip Slip攻击并协助检测应用程序是否存在该漏洞,Synk团队专门发布了一份关于Zip Slip漏洞的技术细节白皮书。

除此之外,研究人员还发布了一份Zip Slip漏洞的攻击演示视频,视频如下:

视频内容

* 参考来源:bleepingcomputer,FB小编Alpha_h4ck编译,转载请注明来自FreeBuf.COM

原文发布于微信公众号 - FreeBuf(freebuf)

原文发表时间:2018-06-17

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏黑白安全

甲骨文称 Java 序列化的存在是个错误,计划删除

甲骨文计划从 Java 中去除序列化功能,因其在安全方面一直是一个棘手的问题。 Java 序列化也称为 Java 对象序列化,该功能用于将对象编码为字节流…Or...

1003
来自专栏做全栈攻城狮

程序员带你学习安卓开发-安卓基础之网络编程 大汇总

本系列教程致力于可以快速的进行学习安卓开发,按照项目式的方法,通常一篇文章会做一个小程序。提高学习的兴趣。

863
来自专栏做全栈攻城狮

程序员带你学习安卓开发,十天快速入门-基础知识(四)

我们就是通过测试项目进行学习安卓基本语法。展开之后,打开ExampleUnitTest类。

955
来自专栏Linyb极客之路

编码习惯之异常处理

对于大型IT系统,最怕的事情第一是系统出现了异常我不知道,等问题闹大了用户投诉了才知道出问题了。第二就是出了问题之后无法找到出错原因。针对这2个问题,说说我们项...

3059
来自专栏me的随笔

Visual Studio 代码风格约束

注意,这里的错误是IDE1006:Naming rule violation,编译时依然能通过(没找到在哪里设置不允许通过编译):

2072
来自专栏WeTest质量开放平台团队的专栏

内存是手游的硬伤——Unity游戏Mono内存管理与泄漏

内存是游戏的硬伤,如果没有做好内存的管理问题,游戏极有可能会出现卡顿,闪退等影响用户体验的现象。本文介绍了在腾讯游戏在Unity游戏开发过程中常见的Mono内存...

932
来自专栏互联网杂技

Nodejs学习路线图

Nodejs框架是基于V8的引擎,是目前速度最快的Javascript引擎。chrome浏览器就基于V8,同时打开20-30个网页都很流畅。Nodejs标准的w...

1.1K8
来自专栏点滴积累

geotrellis使用(十三)数据导入BUG解决方案说明

Geotrellis系列文章链接地址http://www.cnblogs.com/shoufengwei/p/5619419.html 目录 前言 BUG说明...

3817
来自专栏owent

libcopp v2的第一波优化完成

之前测出来libcopp还有一些列优化点,但是要破坏之前的API,所以整理了一下优化的想法和方案。

2592
来自专栏java一日一条

改善Java文档的理由、建议和技巧

我非常确定,作为开发人员我们都喜爱技术文档。我们喜欢阅读文档、写文档,更不用说维护文档了,我简直爱死它了!

1001

扫码关注云+社区

领取腾讯云代金券