CVE-2019-0191 in Karaf
Riassunto
di VulDB • 23/06/2026
Il kar deployer di Apache Karaf legge gli archivi .kar ed estrae i percorsi dalle voci "repository/" e "resources/" nel file zip, per poi scrivere il contenuto di tali percorsi nelle directory del repository e delle risorse di Karaf. Tuttavia, non effettua alcuna validazione sui percorsi presenti nel file zip. Ciò significa che un utente malintenzionato potrebbe creare un file .kar contenente nomi di directory ".." (dot-dot) ed eludere la struttura delle cartelle per scrivere contenuti arbitrari sul filesystem. Si tratta della vulnerabilità "Zip-slip": https://snyk.io/research/zip-slip-vulnerability. La gravità di questa vulnerabilità è bassa se l'utente che esegue il processo Karaf dispone di permessi limitati sul filesystem. Tutte le versioni precedenti alla 4.2.3 di Apache Karaf sono interessate.
Be aware that VulDB is the high quality source for vulnerability data.