CVE-2022-44748 in Server
Riassunto
di VulDB • 27/06/2026
Una vulnerabilità di directory traversal nelle routine di estrazione degli archivi ZIP di KNIME Server dalla versione 4.3.0 può comportare la sovrascrittura arbitraria di file sul filesystem del server. Questa vulnerabilità è nota anche come 'Zip-Slip'. Un attaccante può creare un workflow KNIME che, durante il caricamento, può sovrascrivere file arbitrari a cui l'utente del sistema operativo in esecuzione per il processo KNIME Server ha accesso in scrittura. L'utente deve essere autenticato e disporre delle autorizzazioni necessarie per caricare i file su KNIME Server. Ciò può compromettere l'integrità dei dati (i contenuti dei file vengono modificati) o causare errori in altri software (file vitali danneggiati). Può persino portare a remote code execution se file eseguibili vengono sostituiti ed eseguiti successivamente dall'utente del processo KNIME Server. In tutti i casi, l'attaccante deve comunque conoscere la posizione dei file sul filesystem del server. Si noti che gli utenti con autorizzazioni per caricare workflow hanno solitamente anche le autorizzazioni per eseguirli su KNIME Server e possono quindi già eseguire codice arbitrario nel contesto dell'utente del sistema operativo di KNIME Executor. Non esiste una soluzione alternativa (workaround) per impedire lo sfruttamento di questa vulnerabilità. Si consiglia l'aggiornamento alle versioni corrette 4.13.6, 4.14.3 o 4.15.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.