漏洞详情

包名: pub
组件: archive (Pub)
受影响版本: <= 3.3.7
修复版本: 3.3.8

漏洞描述

Archive组件v3.3.7版本中存在一个问题，允许攻击者伪造zip文件名，这可能导致文件名解析不一致。

技术信息

严重程度: 高危
CVSS总体评分: 7.8/10

CVSS v3基础指标

• 攻击向量: 本地
• 攻击复杂度: 低
• 所需权限: 无
• 用户交互: 需要
• 作用范围: 未改变
• 机密性影响: 高
• 完整性影响: 高
• 可用性影响: 高

CVSS向量: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

弱点分类

CWE-20: 输入验证不当
产品接收输入或数据，但未验证或错误验证输入具有安全正确处理数据所需的属性。

参考链接

• https://nvd.nist.gov/vuln/detail/CVE-2023-39137
• brendan-duncan/archive#266
• https://blog.ostorlab.co/zip-packages-exploitation.html
• https://ostorlab.co/vulndb/advisory/OVE-2023-3
• brendan-duncan/archive@0d17b27
• https://www.rapid7.com/db/modules/exploit/windows/fileformat/winrar_name_spoofing

时间线

• 国家漏洞数据库发布: 2023年8月30日
• GitHub咨询数据库发布: 2023年8月31日
• 审核时间: 2023年8月31日
• 最后更新: 2024年10月2日