Divulgação pública de uma vulnerabilidade crítica de sobrescrita arbitrária de arquivos: Zip Slip

A equipe de segurança da Snyk anuncia hoje a divulgação pública de uma vulnerabilidade crítica de sobrescrita arbitrária de arquivos chamada Zip Slip. Essa vulnerabilidade é amplamente disseminada e geralmente permite a execução remota de comandos. Ela afeta milhares de projetos, incluindo projetos da HP, Amazon, Apache, Pivotal e muitas outras empresas. A vulnerabilidade foi encontrada em diversos ecossistemas, incluindo JavaScript, Ruby, .NET e Go, mas é especialmente comum em Java. É claro que esse tipo de vulnerabilidade já existia, mas recentemente passou a se manifestar em um número muito maior de projetos e bibliotecas.

A Zip Slip é explorada por meio de um arquivo compactado criado especialmente para isso, que contém nomes de arquivo com travessia de diretório (por exemplo, ../../evil.sh). A vulnerabilidade pode afetar diversos formatos de arquivo compactado, incluindo tar, jar, war, cpio, apk, rar e 7z.

Assista ao vídeo abaixo para ver uma exploração da vulnerabilidade Zip Slip em tempo real:

Play Video: Zip Slip Vulnerability Exploit

Para saber mais sobre essa vulnerabilidade, incluindo quais bibliotecas e projetos são afetados, descobrir se você também está vulnerável e conhecer as medidas de correção recomendadas, leia nossa página de pesquisa sobre a vulnerabilidade Zip Slip.

Acessar a página de pesquisa sobre Zip Slip

Devido à gravidade e à ampla disseminação da vulnerabilidade Zip Slip, recomendo fortemente que você dedique um tempo para verificar se não está vulnerável por causa de outras bibliotecas ou do seu próprio código.

Todos os projetos monitorados pela Snyk receberão alertas caso usem uma das bibliotecas vulneráveis. Se seus projetos usam Java e você é cliente Standard, Pro ou Enterprise, também recomendo usar a guia Relatórios para descobrir quais projetos usam a biblioteca Apache Compress e inspecionar o código deles para confirmar que não estão vulneráveis.

Se quiser conversar com mais detalhes sobre essa vulnerabilidade ou obter mais informações para uma reportagem, entre em contato conosco pelo endereço security@snyk.io.