CVE-2017-5946
KrytyczneStreszczenie
Komponent Zip::File w gemie rubyzip przed wersją 1.2.1 dla języka Ruby zawiera podatność na przechodzenie do katalogów nadrzędnych. Jeśli strona umożliwia przesyłanie plików .zip, atakujący może przesłać złośliwy plik używający sekwencji „../” w ścieżkach, aby zapisać dowolne pliki w systemie plików.
Ocena ryzyka
Ryzyko polega na możliwości nadpisania lub utworzenia dowolnych plików na serwerze, co może prowadzić do przejęcia kontroli nad aplikacją lub systemem.
Rekomendacja
Należy zaktualizować gem rubyzip do wersji 1.2.1 lub nowszej oraz zweryfikować, czy aplikacja nie przetwarza archiwów zip bez odpowiedniej walidacji ścieżek.
Oryginalny opis (angielski, źródło NVD)
The Zip::File component in the rubyzip gem before 1.2.1 for Ruby has a directory traversal vulnerability. If a site allows uploading of .zip files, an attacker can upload a malicious file that uses "../" pathname substrings to write arbitrary files to the filesystem.