PT-2024-32867 · Extract+1 · Textract+1
Buglloc
·
Publicado
2024-10-11
·
Atualizado
2024-11-22
·
CVE-2024-47877
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N |
Nome do software vulnerável e versões afetadas
Versões do Extract anteriores à 4.0.0
Descrição
Um arquivo compactado criado com intenção maliciosa pode permitir que um invasor crie um link simbólico fora do diretório de destino da extração. Essa vulnerabilidade pode ser explorada por meio de um arquivo compactado especialmente criado nos formatos zip, tar.gz ou tar.bz2.
Recomendações
Para versões anteriores à 4.0.0, atualize para a versão 4.0.0 ou posterior. Se estiver usando a interface
extract.Extractor.FS, implemente os novos métodos que foram adicionados à interface /v4, incluindo Remove(path string) error, Stat(name string) (os.FileInfo, error) e Chmod(name string, mode os.FileMode) error. Para usuários que não utilizam a interface extract.Extractor.FS, basta alterar a importação para /v4 para atualizar.Exploit
Correção
Path traversal
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Suse
Textract