路径遍历漏洞分析：CVE-2023-39139
漏洞概述
CVE-2023-39139 是Archive库v3.3.7版本中存在的一个高严重性路径遍历漏洞。该漏洞允许攻击者通过提取特制的zip文件执行路径遍历攻击。
技术细节
受影响版本
- 受影响版本：<= 3.3.7
- 已修复版本：3.3.8
漏洞机制
该漏洞属于CWE-22弱点类别——对受限目录路径名的限制不当（路径遍历）。具体表现为：
- 产品使用外部输入构造路径名，意图识别位于受限父目录下的文件或目录
- 产品未能正确清理路径名中的特殊元素
- 导致路径名解析到受限目录之外的位置
CVSS v3.1评分
总体评分：7.8（高）
基础指标详情：
- 攻击向量（AV）：本地（L）
- 攻击复杂度（AC）：低（L）
- 所需权限（PR）：无（N）
- 用户交互（UI）：需要（R）
- 范围（S）：未改变（U）
- 机密性影响（C）：高（H）
- 完整性影响（I）：高（H）
- 可用性影响（A）：高（H）
参考资源
时间线
- NVD发布：2023年8月30日
- GitHub咨询数据库发布：2023年8月31日
- 审核时间：2023年8月31日
- 最后更新：2023年11月6日
致谢
该漏洞由以下安全研究人员发现并报告：
- kj415j45（分析师）
- jonasfj（分析师）