Openshift Enterprise source-to-image vulnerable to Arbitrary File Write via Archive Extraction (Zip Slip)

中 6.5CVE-2018-1103 · GHSA-w55j-f7vx-6q37 · GO-2020-0026 · 12/06/2018 公開 · 17/06/2026 更新

要点

CVE-2018-1103 は github.com/openshift/source-to-image, source-to-image (redhat) に影響する深刻度「中」 (CVSS 6.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：1.3%（全脆弱性の 71.4% より高い）。
対処：1.1.10-0.20180427153919-f5cbcbc5cc6f, 1.1.10 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
github.com/openshift/source-to-image Go	`< 1.1.10-0.20180427153919-f5cbcbc5cc6f`	`1.1.10-0.20180427153919-f5cbcbc5cc6f`
source-to-image redhat	`< 1.1.10`	`1.1.10`

概要

Openshift Enterprise source-to-image before version 1.1.10 is vulnerable to an improper validation of user input. An attacker who could trick a user into using the command to copy files locally, from a pod, could override files outside of the target directory of the command.