Öffentliche Offenlegung einer kritischen Sicherheitslücke zum beliebigen Überschreiben von Dateien: Zip Slip
5. Juni 2018
0 Min. LesezeitDas Snyk-Sicherheitsteam gibt heute die kritische Sicherheitslücke zum beliebigen Überschreiben von Dateien namens Zip Slip öffentlich bekannt. Diese weit verbreitete Sicherheitslücke ermöglicht in der Regel die Ausführung von Befehlen aus der Ferne. Tausende Projekte sind betroffen, darunter Projekte von HP, Amazon, Apache, Pivotal und vielen weiteren Unternehmen. Die Sicherheitslücke wurde in mehreren Ökosystemen gefunden, darunter JavaScript, Ruby, .NET und Go, tritt jedoch besonders häufig in Java auf. Diese Art von Sicherheitslücke gab es natürlich schon früher, doch in letzter Zeit ist sie in deutlich mehr Projekten und Bibliotheken aufgetreten.
Zip Slip wird mithilfe eines speziell präparierten Archivs ausgenutzt, das Dateinamen mit Verzeichnispfadüberquerung enthält (z. B. ../../evil.sh). Die Sicherheitslücke kann zahlreiche Archivformate betreffen, darunter tar, jar, war, cpio, apk, rar und 7z.
Sehen Sie sich das Video unten an, um einen Live-Exploit der Zip-Slip-Sicherheitslücke zu sehen:
Weitere Informationen zu dieser Sicherheitslücke, einschließlich der betroffenen Bibliotheken und Projekte, sowie dazu, ob Sie betroffen sind und welche Maßnahmen zur Behebung Sie ergreifen sollten, finden Sie auf unserer Seite zur Zip-Slip-Sicherheitslückenforschung.
Angesichts des Schweregrads und der weiten Verbreitung der Zip-Slip-Sicherheitslücke empfehle ich Ihnen dringend, zu prüfen, ob Sie über andere Bibliotheken oder Ihren eigenen Code ebenfalls verwundbar sind.
Alle von Snyk überwachten Projekte erhalten Warnmeldungen, wenn sie eine der verwundbaren Bibliotheken verwenden. Wenn Ihre Projekte Java verwenden und Sie Standard-, Pro- oder Enterprise-Kunde sind, empfehle ich Ihnen außerdem, die Registerkarte „Reports“ zu verwenden, um herauszufinden, welche Projekte die Apache-Compress-Bibliothek nutzen, und den Code dieser Projekte zu überprüfen, um sicherzustellen, dass er nicht verwundbar ist.
Wenn Sie diese Sicherheitslücke ausführlicher besprechen möchten oder weitere Informationen für die Medienberichterstattung benötigen, kontaktieren Sie uns bitte unter security@snyk.io.
