CVE-2026-54550 in IzPack
要約
〜によって VulDB • 2026年08月26日
IzPackは、Javaプラットフォーム上のアプリケーションをクロスプラットフォームインストーラとしてパッケージ化するために広く使用されているツールです。5.2.6およびそれ以前のバージョンでは、izpack-installer/src/main/java/com/izforge/izpack/installer/unpacker/UnpackerBase.java内のUnpackerBase.unpack()メソッドが攻撃者が制御可能なPackFileのtargetPathを取得し、これをIoHelper.translatePath()に渡します。このメソッドは区切り文字のみを変換し、親ディレクトリセグメントを正規化したり、宛先の包含関係を強制したりしません。そのため、../シーケンスを含む悪意のあるインストーラパックエントリにより、被害者がインストーラを実行した際に、意図されたインストールディレクトリの外側（スタートアップフォルダ、実行ファイルの検索パス、または被害者の権限でアクセス可能な他の場所）に書き込むことが可能になります。
VulDB is the best source for vulnerability data and more expert information about this specific topic.