CVE-2024-24789
ŚrednieStreszczenie
Podatność w pakiecie archive/zip języka Go powoduje, że obsługa niektórych nieprawidłowych plików zip różni się od zachowania większości implementacji. Ta rozbieżność może być wykorzystana do stworzenia pliku zip, którego zawartość zmienia się w zależności od implementacji odczytującej plik. Pakiet archive/zip odrzuca teraz takie pliki.
Ocena ryzyka
Organizacja może być narażona na ataki polegające na dostarczeniu złośliwego pliku zip, który będzie interpretowany inaczej przez różne systemy, co może prowadzić do ominięcia zabezpieczeń lub nieoczekiwanego zachowania aplikacji.
Rekomendacja
Zaleca się aktualizację języka Go do wersji zawierającej poprawkę dla CVE-2024-24789 oraz weryfikację, czy aplikacje korzystające z archive/zip nie przetwarzają nieprawidłowych plików zip.
Oryginalny opis (angielski, źródło NVD)
The archive/zip package's handling of certain types of invalid zip files differs from the behavior of most zip implementations. This misalignment could be exploited to create an zip file with contents that vary depending on the implementation reading the file. The archive/zip package now rejects fil