CVE-2023-39139：Archive库路径遍历漏洞分析

漏洞概述

CVE-2023-39139是一个在Archive库v3.3.7版本中发现的高危路径遍历漏洞。该漏洞允许攻击者通过特制的zip文件执行路径遍历攻击，从而访问和操作受限目录之外的文件系统。

技术细节

受影响版本

• Archive库 <= 3.3.7

已修复版本

• Archive库 3.3.8

漏洞类型

• CWE-22: 路径遍历漏洞
• CVSS v3.1评分: 7.8（高危）

攻击向量

攻击者可以利用此漏洞通过以下方式实施攻击：

• 制作包含恶意路径的zip文件
• 诱骗用户解压该文件
• 实现目录穿越，访问受限文件

安全影响

受影响方面

• 机密性: 高 - 可读取敏感文件
• 完整性: 高 - 可修改重要文件
• 可用性: 高 - 可能破坏系统功能

CVSS v3.1基础指标

• 攻击向量：本地
• 攻击复杂度：低
• 所需权限：无
• 用户交互：需要
• 范围：未改变

修复方案

官方修复

该漏洞已在Archive库3.3.8版本中修复，建议所有使用受影响版本的用户立即升级。

参考资源

• NVD漏洞详情：https://nvd.nist.gov/vuln/detail/CVE-2023-39139
• GitHub问题跟踪：brendan-duncan/archive#265
• 技术分析文章：https://blog.ostorlab.co/zip-packages-exploitation.html

漏洞标识

• CVE ID: CVE-2023-39139
• GHSA ID: GHSA-9v85-q87q-g4vg

致谢

该漏洞由以下安全研究人员发现和报告：

• kj415j45
• jonasfj

用户应及时更新到修复版本以确保系统安全，避免因路径遍历漏洞导致的数据泄露和系统破坏风险。