PT-2025-3860
CVE-2025-0377
·
تاريخ النشر
2025-01-21
·
تاريخ التحديث
2025-12-30
الوصف من
CVSS 3.1
9.1
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات HashiCorp go-slug الأقدم من 0.16.3
الوصف
تتعرض مكتبة go-slug لهجوم من نوع zip-slip عندما يتم استخراج مسار غير موجود مقدم من المستخدم من إدخال tar. يحدث هذا لأن خطوة فك الضغط لا تتحقق من صحة المسارات بشكل صحيح، مما قد يؤدي إلى اجتياز المسار، مما يسمح للمهاجم بكتابة ملف تعسفي أثناء الاستخراج. توفر المكتبة وظائف لتعبئة وفك ضغط slugs المتوافقة مع Terraform Enterprise، وهي ملفات tar مضغوطة بواسطة gzip تحتوي على ملفات تكوين Terraform.
التوصيات
بالنسبة للإصدارات الأقدم من 0.16.3، قم بترقية go-slug إلى الإصدار 0.16.3 أو أحدث لحل المشكلة. كحل مؤقت، ضع في اعتبارك تقييد استخدام المسارات التي يوفرها المستخدم في إدخال tar لتقليل مخاطر الاستغلال إلى أدنى حد. يجب على مستخدمي المكتبة المشتركة go-slug تقييم المخاطر المرتبطة بهذه المشكلة في سياق استخدامهم لـ go-slug.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾