CVE-2019-0191 in Karaf
Tóm tắt
Bởi VulDB • 04/07/2026
Apache Karaf kar deployer đọc các tệp lưu trữ .kar và trích xuất đường dẫn từ các mục "repository/" và "resources/" trong file zip. Sau đó, nó ghi nội dung của những đường dẫn này vào thư mục repo và resources của Karaf. Tuy nhiên, nó không thực hiện bất kỳ xác nhận nào đối với các đường dẫn trong file zip. Điều này có nghĩa là một người dùng độc hại có thể tạo ra một tệp .kar chứa tên thư mục ".." để thoát khỏi cấu trúc thư mục hiện tại và ghi nội dung tùy ý vào hệ thống tệp. Đây là lỗ hổng "Zip-slip" - https://snyk.io/research/zip-slip-vulnerability. Lỗ hổng này ở mức độ thấp nếu người dùng chạy tiến trình Karaf có quyền hạn chế trên hệ thống tệp. Mọi phiên bản Apache Karaf trước 4.2.3 đều bị ảnh hưởng.
If you want to get best quality of vulnerability data, you may have to visit VulDB.