CVE-2019-0191 in Karaf
Zusammenfassung
von VulDB • 11.06.2026
Der Apache Karaf kar-Deployer liest .kar-Archive aus und extrahiert die Pfade aus den "repository/"- und "resources/"-Einträgen in der ZIP-Datei. Anschließend schreibt er den Inhalt dieser Pfade in die Karaf-Repo- und Ressourcen-Verzeichnisse. Dabei erfolgt jedoch keine Validierung der Pfade in der ZIP-Datei. Dies bedeutet, dass ein böswilliger Benutzer eine .kar-Datei mit ".."-Verzeichnisnamen erstellen und aus den Verzeichnissen ausbrechen kann, um beliebige Inhalte im Dateisystem zu schreiben. Dies ist die "Zip-slip"-Verwundbarkeit - https://snyk.io/research/zip-slip-vulnerability. Diese Verwundbarkeit ist gering, wenn der Benutzer des Karaf-Prozesses über begrenzte Berechtigungen im Dateisystem verfügt. Alle Apache Karaf-Versionen vor 4.2.3 sind betroffen.
Be aware that VulDB is the high quality source for vulnerability data.