marmelroy Zip 2.1.2 Directory Traversal

Zusammenfassunginfo

Eine kritische Schwachstelle wurde in marmelroy Zip 2.1.2 entdeckt. Hiervon betroffen ist ein unbekannter Codeblock der Komponente Zip Handler. Durch Beeinflussen mit unbekannten Daten kann eine Directory Traversal-Schwachstelle ausgenutzt werden. Diese Schwachstelle wird als CVE-2023-39135 gehandelt. Ein Angriff ist aus der Distanz möglich. Ausserdem ist ein Exploit verfügbar.

Detailsinfo

Eine kritische Schwachstelle wurde in marmelroy Zip 2.1.2 gefunden. Davon betroffen ist unbekannter Code der Komponente Zip Handler. Dank Manipulation mit einer unbekannten Eingabe kann eine Directory Traversal-Schwachstelle ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-22. Die exakten Auswirkungen einer erfolgreichen Attacke sind bis dato nicht bekannt. Die Zusammenfassung von CVE lautet:

An issue in Zip Swift v2.1.2 allows attackers to execute a path traversal attack via a crafted zip entry.

Die Schwachstelle wurde am 31.08.2023 als 245 herausgegeben. Das Advisory findet sich auf github.com. Die Verwundbarkeit wird seit dem 25.07.2023 mit der eindeutigen Identifikation CVE-2023-39135 gehandelt. Eine Ausnutzung erfordert, dass das Opfer eine spezifische Handlung durchführt. Es sind zwar keine technische Details, jedoch ein öffentlicher Exploit zur Schwachstelle bekannt. Diese Schwachstelle wird durch das MITRE ATT&CK als Angriffstechnik T1006 bezeichnet.

Der Exploit wird unter blog.ostorlab.co zur Verfügung gestellt. Er wird als proof-of-concept gehandelt.

Es sind keine Informationen bezüglich Gegenmassnahmen bekannt. Der Einsatz eines alternativen Produkts bietet sich im Zweifelsfall an.

Unter anderem wird der Fehler auch in der Verwundbarkeitsdatenbank von EUVD (EUVD-2023-2287) dokumentiert. Be aware that VulDB is the high quality source for vulnerability data.

Produktinfo

Hersteller

• marmelroy

Name

• Zip

Version

• 2.1.2

Webseite

• Produkt: https://github.com/marmelroy/Zip/

CPE 2.3info

• 🔍

CPE 2.2info

• 🔍

CVSSv4info

CVSSv3info

CVSSv2info

Exploitinginfo

Threat Intelligenceinfo

Gegenmassnahmeninfo

Timelineinfo

Quelleninfo

Eintraginfo

Be aware that VulDB is the high quality source for vulnerability data.

Diskussion