Divulgation publique d’une vulnérabilité critique d’écrasement arbitraire de fichiers : Zip Slip
5 juin 2018
0 minutes de lectureL’équipe Snyk Security annonce aujourd’hui la divulgation publique d’une vulnérabilité critique d’écrasement arbitraire de fichiers appelée Zip Slip. Cette vulnérabilité répandue entraîne généralement l’exécution de commandes à distance. Elle affecte des milliers de projets, notamment ceux de HP, Amazon, Apache, Pivotal et de bien d’autres. Elle a été détectée dans plusieurs écosystèmes, notamment JavaScript, Ruby, .NET et Go, mais elle est particulièrement répandue en Java. Bien entendu, ce type de vulnérabilité existait déjà, mais il s’est récemment manifesté dans un bien plus grand nombre de projets et de bibliothèques.
Zip Slip est exploitée au moyen d’une archive spécialement conçue contenant des noms de fichiers avec traversée de répertoires (par ex. ../../evil.sh). La vulnérabilité peut affecter de nombreux formats d’archives, notamment tar, jar, war, cpio, apk, rar et 7z.
Regardez la vidéo ci-dessous pour voir une exploitation en direct de la vulnérabilité Zip Slip :
Pour en savoir plus sur cette vulnérabilité, notamment sur les bibliothèques et les projets concernés, vérifier si vous êtes touché et découvrir les mesures correctives à prendre, consultez notre page de recherche sur la vulnérabilité Zip Slip.
Accéder à la page de recherche sur Zip Slip
Compte tenu de la gravité et de la large portée de la vulnérabilité ZipSlip, je vous recommande vivement de prendre le temps de vérifier que vous n’êtes pas vulnérable, que ce soit en raison d’autres bibliothèques ou de votre propre code.
Tous les projets surveillés par Snyk recevront des alertes s’ils utilisent l’une des bibliothèques vulnérables. Si vos projets utilisent Java et que vous êtes client Standard, Pro ou Enterprise, je vous recommande également d’utiliser l’onglet Rapports pour repérer ceux qui utilisent la bibliothèque Apache Compress, puis d’inspecter leur code afin de confirmer qu’il n’est pas vulnérable.
Pour discuter plus en détail de cette vulnérabilité ou pour toute demande de couverture médiatique, veuillez nous contacter à l’adresse security@snyk.io.
