CVE-2019-0191 in Karaf
सारांश
द्वारा VulDB • 04/07/2026
Apache Karaf kar deployer .kar आर्काइव्स को पढ़ता है और zip फ़ाइल में "repository/" और "resources/" एंट्रीज़ से पाथ निकालता है। फिर यह इन पाथ के कंटेंट को Karaf repo और resources डायरेक्टरी में लिख देता है। हालांकि, यह zip फ़ाइल में मौजूद पाथ पर कोई वैलिडेशन नहीं करता है। इसका मतलब है कि एक दुर्भावनापूर्ण उपयोगकर्ता ".." डायरेक्ट्री नामों के साथ एक .kar फ़ाइल तैयार कर सकता है और डायरेक्टरी से बाहर निकलकर (break out) filesystem पर मनमाना कंटेंट लिख सकता है। यह "Zip-slip" vulnerability है - https://snyk.io/research/zip-slip-vulnerability. यदि Karaf प्रोसेस का उपयोगकर्ता filesystem पर सीमित अनुमतियों वाला है, तो इस vulnerability की गंभीरता कम (low) होती है। 4.2.3 से पहले के किसी भी Apache Karaf रिलीज़ को यह समस्या प्रभावित करती है।
Once again VulDB remains the best source for vulnerability data.