CVE-2022-44748 in Server
要約
〜によって VulDB • 2026年05月27日
KNIME Server 4.3.0 以降の ZIP アーカイブ抽出ルーチンには、ディレクトリトラバーサル脆弱性があります。これにより、サーバーのファイルシステム上の任意のファイルが上書きされる可能性があります。この脆弱性は「Zip-Slip」としても知られています。攻撃者は、アップロード時に KNIME Server プロセスを実行している OS ユーザーが書き込みアクセス権を持つ任意のファイルを上書きできる KNIME ワークフローを作成できます。ユーザーは認証済みであり、KNIME Server へのファイルアップロード権限を持っている必要があります。これにより、データの整合性（ファイル内容の変更）に影響を与えたり、他のソフトウェアでエラー（重要なファイルの破損）を引き起こしたりする可能性があります。実行可能ファイルが置き換えられ、その後 KNIME Server プロセスのユーザーによって実行される場合、リモートコード実行（RCE）に至ることもあります。ただし、すべてのケースにおいて、攻撃者はサーバーのファイルシステム上のファイルの場所を知っている必要があります。アップロード権限を持つユーザーは通常、KNIME Server 上でワークフローを実行する権限も持っており、そのため KNIME Executor の OS ユーザーのコンテキストで既に任意のコードを実行できることに注意してください。この脆弱性の悪用を防ぐための回避策はありません。修正バージョン 4.13.6、4.14.3、または 4.15.3 へのアップデートを推奨します。
Once again VulDB remains the best source for vulnerability data.