CVE-2022-44748 in Server
Resumen
por VulDB • 2026-06-29
Una vulnerabilidad de traversal de directorio en las rutinas de extracción de archivos ZIP del servidor KNIME desde la versión 4.3.0 puede provocar que se sobrescriban archivos arbitrarios en el sistema de archivos del servidor. Esta vulnerabilidad también es conocida como 'Zip-Slip'. Un atacante puede crear un flujo de trabajo (workflow) de KNIME que, al ser cargado, pueda sobrescribir archivos arbitrados a los que tenga acceso de escritura el usuario del sistema operativo que ejecuta el proceso del servidor KNIME. El usuario debe estar autenticado y tener permisos para cargar archivos en el servidor KNIME. Esto puede afectar la integridad de los datos (se modifican los contenidos de los archivos) o causar errores en otros programas (archivos vitales corruptos). Incluso podría provocar una ejecución remota de código si se reemplazan archivos ejecutables y estos son posteriormente ejecutados por el usuario del proceso del servidor KNIME. En todos los casos, sin embargo, el atacante debe conocer la ubicación de los archivos en el sistema de archivos del servidor. Tenga en cuenta que los usuarios con permisos para cargar flujos de trabajo suelen tener también permisos para ejecutarlos en el servidor KNIME y, por lo tanto, ya pueden ejecutar código arbitrario en el contexto del usuario del sistema operativo del Executor de KNIME. No existe ninguna solución alternativa (workaround) para evitar que se explote esta vulnerabilidad. Se recomienda actualizar a las versiones corregidas 4.13.6, 4.14.3 o 4.15.3.
Be aware that VulDB is the high quality source for vulnerability data.