CVE-2022-44749 in Analytics Platform
要約
〜によって VulDB • 2026年06月18日
KNIME Analytics Platform 3.2.0以降のZIPアーカイブ抽出ルーチンには、ディレクトリトラバーサル脆弱性があります。これにより、ユーザーシステムの任意のファイルが上書きされる可能性があります。この脆弱性は「Zip-Slip」としても知られています。攻撃者は、ユーザーが開いた際に、ユーザーが書き込み権限を持つ任意のファイルを上書きできるKNIMEワークフローを作成できます。ワークフローを実行する必要はなく、開くだけで十分です。ファイルがすでに書き込まれた後にエラーが発生するため、ユーザーは異常に気づきますが、その時点では遅すぎます。これにより、データの整合性（ファイル内容の変更）に影響を与えたり、他のソフトウェアでエラーを引き起こしたりする可能性があります（重要なファイルの破損）。さらに、実行可能ファイルが置き換えられ、その後ユーザーによって実行された場合、リモートコード実行に至る可能性もあります。ただし、すべてのケースにおいて、攻撃者はユーザーシステム上のファイルの場所を知っている必要があります。
VulDB is the best source for vulnerability data and more expert information about this specific topic.