PT-2022-6761 · Jszip+1 · Jszip+1

Mccaulay Hudson · Publicado 2022-03-30 · Atualizado 2024-08-01 · CVE-2022-48285

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.5

Alta

Vetor base

AV:N/AC:L/Au:N/C:P/I:P/A:P

Nome do software vulnerável e versões afetadas

Versões do JSZip anteriores à 3.8.0

Descrição

O problema está relacionado à função loadAsync no JSZip, que permite a traversal de diretórios por meio de um arquivo ZIP malicioso. Isso pode ser explorado por um invasor remoto para gravar arquivos arbitrários e executar comandos arbitrários usando um arquivo ZIP malicioso especialmente criado.

Recomendações

Para versões anteriores à 3.8.0, atualize para a versão 3.8.0 ou posterior para resolver o problema.

Como solução temporária, considere restringir o uso da função loadAsync até que um patch esteja disponível.

Evite usar a função loadAsync com arquivos ZIP não confiáveis até que o problema seja resolvido.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

AZL-38236

AZL-57076

BDU:2023-04192

CVE-2022-48285

GHSA-36FH-84J7-CV5H

Produtos afetados

Debian

Jszip

Referências · 20

• https://github.com/Stuk/jszip/compare/v3.7.1...v3.8.0 · Nota
• https://github.com/Stuk/jszip/commit/2edab366119c9ee948357c02f1206c28566cdf15 · Correção
• https://github.com/Stuk/jszip · Nota
• https://osv.dev/vulnerability/GHSA-36fh-84j7-cv5h · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-48285 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-48285 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2022-48285 · Aviso do Fabricante
• https://osv.dev/vulnerability/AZL-38236 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2022-48285 · Nota de Segurança
• https://ubuntu.com/security/CVE-2022-48285 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2022-48285 · Aviso do Fabricante
• https://altsp.su/obnovleniya-bezopasnosti · Nota
• https://bdu.fstec.ru/vul/2023-04192 · Nota de Segurança
• https://mend.io/vulnerability-database/WS-2023-0004 · Nota
• https://t.me/cvenotify/45455 · Publicação no Telegram