PT-2025-11484
CVE-2025-29787
·
تاريخ النشر
2025-03-16
·
تاريخ التحديث
2025-03-17
الوصف من
CVSS 4.0
7.3
عاليةالمقاييسAV:N/AC:H/AT:N/PR:L/UI:N/VC:L/VI:H/VA:N/SC:H/SI:H/SA:H
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات zip من 1.3.0 إلى 2.3.0
يُصلح الإصدار 2.3.0 من zip هذه المشكلة، لذا فإن الإصدارات المتأثرة هي تلك التي تسبق الإصدار 2.3.0
وبالتالي، فإن الإصدارات المتأثرة هي:
إصدارات zip من 1.3.0 إلى 2.2.x
الوصف
تسمح روتين استخراج الملفات المضغوطة في مكتبة
zip باستخدام الروابط الرمزية الموجودة مسبقًا في الملف المضغوط للإشارة إلى ملفات لاحقة فيه، دون التحقق من صحة المسار النهائي المعياري. وهذا يتيح للملفات المضغوطة التي تم إنشاؤها بشكل خبيث الكتابة فوق ملفات عشوائية في نظام الملفات عند استخراجها. قد يتأثر المستخدمون الذين يقومون باستخراج ملفات مضغوطة غير موثوقة باستخدام طرق واجهة برمجة تطبيقات (API) عالية المستوى، وقد يتم استبدال الملفات الحساسة في النظام بأذونات ملفات عشوائية، مما قد يؤدي إلى تنفيذ التعليمات البرمجية.التوصيات
بالنسبة لإصدارات zip من 1.3.0 إلى 2.2.x، قم بالتحديث إلى الإصدار 2.3.0 لإصلاح المشكلة.
كحل مؤقت، يُنصح بتجنب استخراج الملفات المضغوطة غير الموثوق بها باستخدام الطريقتين
zip::unstable::stream::ZipStreamReader::extract وzip::read::ZipArchive::extract حتى يتم حل المشكلة.قم بتقييد الوصول إلى الطريقة
extract لتقليل مخاطر الاستغلال. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾