路径遍历漏洞 (CVE-2023-39139) - Archive库漏洞详情

漏洞概述

CVE ID: CVE-2023-39139 GHSA ID: GHSA-9v85-q87q-g4vg 严重程度: 高危 (CVSS评分7.8/10) 影响范围: Archive库版本≤3.3.7 修复版本: Archive库版本3.3.8

漏洞详情

漏洞描述

Archive库v3.3.7版本中存在一个安全漏洞，攻击者可以通过构造特制的ZIP文件，在解压缩过程中执行路径遍历攻击。

受影响版本

• Archive库（Pub包管理器）版本3.3.7及之前的所有版本

已修复版本

• Archive库版本3.3.8

技术信息

CVSS v3.1 基准指标

• 攻击向量 (AV): 本地 (L)
• 攻击复杂度 (AC): 低 (L)
• 所需权限 (PR): 无 (N)
• 用户交互 (UI): 需要 (R)
• 影响范围 (S): 不变 (U)
• 机密性影响 (C): 高 (H)
• 完整性影响 (I): 高 (H)
• 可用性影响 (A): 高 (H)

CVSS向量字符串: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

弱点分类

• CWE-ID: CWE-22
• 弱点名称: 对受限目录的路径名限制不当（路径遍历）
• 描述: 产品使用外部输入构造路径名，旨在识别位于受限父目录下的文件或目录，但产品未能正确消除路径名中的特殊元素，这些元素可能导致路径名解析到受限目录之外的位置。

参考资源

1. 官方漏洞数据库:

   • NVD漏洞详情

2. 技术分析:

   • ZIP包利用技术分析
   • Ostorlab漏洞数据库

3. 修复提交:

   • 提交记录 6de4923
   • 提交记录 edb0d48

时间线

• NVD发布时间: 2023年8月30日
• GitHub公告发布时间: 2023年8月31日
• 最后更新时间: 2023年11月6日

漏洞分析

攻击原理

该漏洞源于Archive库在解压缩ZIP文件时，未能正确处理包含相对路径（如../../../）的文件名。攻击者可以构造恶意ZIP文件，当受害者解压该文件时，恶意文件可能会被写入系统上的任意位置，从而可能导致：

• 覆盖关键系统文件
• 写入恶意可执行文件
• 泄露敏感信息

修复方案

建议所有使用Archive库的用户立即升级到3.3.8或更高版本，该版本已修复此路径遍历漏洞。

致谢

此漏洞由以下安全研究人员报告和分析：

• kj415j45 (分析师)
• jonasfj (分析师)

相关信息

• EPSS评分: 0.046% (第14百分位)
• 漏洞类型: 路径遍历
• 影响平台: 所有使用受影响Archive版本的系统

注意: 此漏洞已被GitHub安全团队审核并确认为高危漏洞，建议相关用户立即采取修复措施。