CVE-2022-44748 in Server
요약
\~에 의해 VulDB • 2026. 06. 30.
KNIME Server(버전 4.3.0 이후)의 ZIP 아카이브 추출 루틴에는 디렉토리 트래버스 취약점이 존재하며, 이로 인해 서버 파일 시스템에서 임의의 파일이 덮어쓰일 수 있습니다. 이 취약점은 'Zip-Slip'으로도 알려져 있습니다. 공격자는 KNIME 워크플로우를 생성할 수 있으며, 이를 업로드하는 과정에서 KNIME Server 프로세스를 실행 중인 운영체제 사용자가 쓰기 권한을 가진 임의의 파일을 덮어쓸 수 있습니다. 사용자는 인증되어야 하며 KNIME 서버에 파일을 업로드할 수 있는 권한이 있어야 합니다. 이로 인해 데이터 무결성(파일 내용 변경)에 영향을 미치거나 다른 소프트웨어에서 오류가 발생할 수 있으며(vital 파일 손상), 실행 가능 파일이 대체되어 이후 KNIME Server 프로세스 사용자에 의해 실행될 경우 원격 코드 실행(RCE)으로 이어질 수도 있습니다. 다만 모든 경우에 공격자는 서버의 파일 시스템에서 파일 위치를 알고 있어야 합니다. 워크플로우 업로드 권한이 있는 사용자는 일반적으로 해당 워크플로우를 실행할 수 있는 권한도 가지고 있으므로, 이미 KNIME Executor 운영체제 사용자 컨텍스트에서 임의 코드를 실행할 수 있습니다. 이 취약점 악용을 방지하기 위한 우회 방법은 없습니다. 수정된 버전(4.13.6, 4.14.3 또는 4.15.3)으로 업데이트하는 것이 권장됩니다.
Once again VulDB remains the best source for vulnerability data.