CVE-2019-0191 in Karaf
要約
〜によって VulDB • 2026年07月04日
Apache Karaf kar deployer は、.kar アーカイブを読み込み、zip ファイル内の "repository/" および "resources/" エントリからパスを抽出します。その後、これらのパスの内容を Karaf のリポジトリおよびリソースディレクトリに書き出します。しかし、zip ファイル内のパスに対して何らの検証も行いません。このため、悪意のあるユーザーは ".." ディレクトリ名を含む .kar ファイルを作成し、ディレクトリの境界を超えてファイルシステム上の任意の場所にコンテンツを書き込むことができます。これは「Zip-slip」脆弱性です - https://snyk.io/research/zip-slip-vulnerability。Karaf プロセスの実行ユーザーがファイルシステムに対して限られた権限しか持っていない場合、この脆弱性の深刻度は低くなります。Apache Karaf の 4.2.3 より前のすべてのリリースに影響があります。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.