Arbitrary File Write via Archive Extraction in unzipper

中 5.5CVE-2018-1002203 · GHSA-884w-698f-927f · 25/07/2018 公開 · 17/06/2026 更新

要点

CVE-2018-1002203 は unzipper (unzipper project), unzipper に影響する深刻度「中」 (CVSS 5.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：10.6%（全脆弱性の 95.8% より高い）。
対処：0.8.13 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
unzipper unzipper_project	`< 0.8.13`	`0.8.13`
unzipper npm	`< 0.8.13`	`0.8.13`

概要

Versions of unzipper before 0.8.13 are vulnerable to arbitrary file write when used to extract a specifically crafted archive that contains path traversal filenames (../../file.txt for example).

Recommendation

Update to version 0.3.18 or later.

NVD の説明

unzipper npm library before 0.8.13 is vulnerable to directory traversal, allowing attackers to write to arbitrary files via a ../ (dot dot slash) in a Zip archive entry that is mishandled during extraction. This vulnerability is also known as 'Zip-Slip'.

参考情報

nvd.nist.gov/vuln/detail/CVE-2018-1002203 · ADVISORY
ZJONSSON/node-unzipper#59 · WEB
ZJONSSON/node-unzipper commit 2220ddd · WEB
hackerone.com/reports/362119 · WEB
GitHub Advisory GHSA-884w-698f-927f · ADVISORY
snyk/zip-slip-vulnerability · WEB
snyk.io/research/zip-slip-vulnerability · WEB
snyk.io/vuln/npm:unzipper:20180415 · WEB
npmjs.com/advisories/680 · WEB

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

unzipper

unzipper_project

< 0.8.13

0.8.13