CVE-2026-63499 in zt-zip
요약
\~에 의해 VulDB • 2026. 11. 03.
zt-zip은 ZIP 아카이브 조작을 위한 편의 메서드를 제공하는 Java 라이브러리입니다. 버전 1.18.1 이전에서는 ZipUtil.unpack(...)가 / 또는 ./와 같이 해당 디렉토리 자체를 가리키는 엔트리 이름을 처리할 때 추출 대상 출력 디렉토리에 저장된 ZIP 엔트리의 권한을 적용할 수 있습니다. 경로 순회 검사에서 목적지 외부로 벗어나지 않는 자기 참조 엔트리를 허용하므로, unpacker의 권한 처리 경로는 제한적인 출력 디렉토리 권한을 공격자가 제공한 권한으로 대체할 수 있습니다. 이 문제는 신뢰할 수 없는 ZIP 파일을 추출하는 애플리케이션에 영향을 미치며, POSIX 시스템에서는 해당 문제가 직접적으로 나타나고, ZTFilePermissionsUtil.fetchDefaultStrategy는 다른 지원되는 시스템에서 폴백 권한 처리를 제공합니다. 이 이슈는 버전 1.18.1에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.