Divulgación pública de una vulnerabilidad crítica de sobrescritura arbitraria de archivos: Zip Slip
5 de junio de 2018
0 minutos de lecturaEl equipo de seguridad de Snyk anuncia hoy la divulgación pública de una vulnerabilidad crítica de sobrescritura arbitraria de archivos llamada Zip Slip. Es una vulnerabilidad extendida que suele permitir la ejecución remota de comandos. Afecta a miles de proyectos, incluidos algunos de HP, Amazon, Apache, Pivotal y muchas otras empresas. Se ha detectado en varios ecosistemas, como JavaScript, Ruby, .NET y Go, pero es especialmente común en Java. Por supuesto, este tipo de vulnerabilidad ya existía, pero recientemente se ha manifestado en muchos más proyectos y bibliotecas.
Zip Slip se explota mediante un archivo comprimido especialmente diseñado que contiene nombres de archivo con recorrido de directorios (por ejemplo, ../../evil.sh). La vulnerabilidad puede afectar numerosos formatos de archivo, como tar, jar, war, cpio, apk, rar y 7z.
Mira el siguiente video para ver una explotación en vivo de la vulnerabilidad Zip Slip:
Si quieres obtener más información sobre esta vulnerabilidad, incluidas las bibliotecas y los proyectos afectados, averiguar si te afecta y conocer los pasos de corrección que debes seguir, consulta nuestra página de investigación sobre la vulnerabilidad Zip Slip.
Ir a la página de investigación sobre Zip Slip
Dada la gravedad y la amplia propagación de la vulnerabilidad Zip Slip, te recomiendo encarecidamente que dediques tiempo a asegurarte de que no seas vulnerable, ya sea por otras bibliotecas o por tu propio código.
Todos los proyectos supervisados por Snyk recibirán alertas si usan alguna de las bibliotecas vulnerables. Si tus proyectos usan Java y eres cliente Standard, Pro o Enterprise, también te recomiendo que uses la pestaña Informes para identificar cuáles usan la biblioteca Apache Compress y revisar su código para confirmar que no sean vulnerables.
Si quieres conversar con más detalle sobre esta vulnerabilidad o necesitas información adicional para un reportaje, contáctanos en security@snyk.io.
