描述

spring-integration-zip，1.0.1 之前的版本，存在任意檔案寫入漏洞，可以透過使用特製的 zip 存檔（也影響其他存檔，bzip2、tar、xz、war、cpio、7z）來實現，該存檔包含路徑遍歷檔名。 因此，當檔名連線到目標提取目錄時，最終路徑會超出目標資料夾。

這尤其適用於 unzip 轉換器。

只有在使用此庫的應用程式接受並解壓縮來自不受信任來源的 zip 檔案時才會發生這種情況。

受影響的 Spring 產品和版本

• Spring Integration Zip Community Extension Project 版本 1.0.0.RELEASE

緩解措施

受影響版本的使用者應採取以下緩解措施

• 升級到 1.0.1.RELEASE

或者不要解壓不受信任的 zip 檔案。

鳴謝

此問題由 Snyk Security Research Team 發現並負責任地報告。

歷史

2018-05-09：釋出初始漏洞報告