Plattform
java
Komponente
quarkus-openapi-generator
Behoben in
2.15.1
2.16.1
Quarkus OpenAPI Generator, used for generating Rest Clients and server stubs, contains a path traversal vulnerability. Prior to versions 2.16.0 and 2.15.0-lts, the unzip() method fails to validate the resolved file path during ZIP extraction, allowing malicious archives to write files outside the intended output directory. This vulnerability is addressed in version 2.16.0.
CVE-2026-40180 in Quarkus OpenAPI Generator betrifft Versionen vor 2.16.0 und 2.15.0-lts. Es handelt sich um eine Sicherheitslücke vom Typ 'Path Traversal'. Die Komponente ApicurioCodegenWrapper.java, insbesondere die Methode 'unzip()', validiert die Dateipfade, die aus einer ZIP-Datei extrahiert werden, nicht ausreichend. Dies ermöglicht einem Angreifer, durch Erstellung einer bösartigen ZIP-Datei mit Dateinamen, die 'Path Traversal'-Sequenzen (z.B. '..') enthalten, Dateien außerhalb des vorgesehenen Ausgabeverzeichnisses zu schreiben. Ein Angreifer könnte potenziell sensible Dateien im System überschreiben und so die Integrität und Vertraulichkeit der Quarkus-Anwendung gefährden.
Ein Angreifer könnte diese Schwachstelle ausnutzen, indem er Quarkus OpenAPI Generator während des Prozesses der Generierung von REST-Clients oder Server-Stubs eine bösartige ZIP-Datei zuführt. Die ZIP-Datei würde Einträge mit Dateinamen enthalten, die 'Path Traversal'-Sequenzen enthalten, wodurch der Angreifer Dateien an beliebigen Stellen im Dateisystem schreiben könnte. Die Wahrscheinlichkeit einer Ausnutzung hängt von der Fähigkeit des Angreifers ab, die von Quarkus verwendete OpenAPI-Datei zu kontrollieren und von der Konfiguration der Laufzeitumgebung. Die Komplexität der Ausnutzung ist relativ gering, da sie nur die Erstellung einer bösartigen ZIP-Datei erfordert.
Development teams using Quarkus OpenAPI Generator to automate code generation are at risk. Specifically, those using versions prior to 2.16.0 and relying on external or untrusted ZIP archives for code generation are particularly vulnerable. Shared hosting environments where multiple users can potentially influence the generated code are also at increased risk.
• java / server:
find /path/to/quarkus/output -name 'malicious.java' -print• generic web:
curl -I http://your-quarkus-app/ | grep 'Content-Type:'disclosure
Exploit-Status
EPSS
0.06% (18% Perzentil)
CISA SSVC
Die Lösung zur Minderung dieser Schwachstelle besteht darin, auf Version 2.16.0 oder höher von Quarkus OpenAPI Generator zu aktualisieren. Diese Version enthält eine ordnungsgemäße Validierung der extrahierten Dateipfade, wodurch verhindert wird, dass Dateien außerhalb des Zielverzeichnisses geschrieben werden. Es wird empfohlen, dieses Update so bald wie möglich anzuwenden, um Ihre Quarkus-Anwendungen zu schützen. Überprüfen Sie außerdem die Quellen der OpenAPI-Dateien, die von Quarkus verwendet werden, um sicherzustellen, dass sie aus vertrauenswürdigen Quellen stammen, um die Einführung bösartiger ZIP-Dateien zu verhindern. Die Implementierung strenger Zugriffskontrollen auf das Ausgabeverzeichnis kann ebenfalls dazu beitragen, die Auswirkungen einer möglichen Ausnutzung zu reduzieren.
Actualice a la versión 2.16.0 o 2.15.0-lts de quarkus-openapi-generator para mitigar la vulnerabilidad de recorrido de directorios. Esta actualización corrige la validación de rutas al extraer archivos ZIP, evitando la escritura de archivos fuera del directorio de destino.
Schwachstellenanalysen und kritische Warnungen direkt in deinen Posteingang.
Ein 'Path Traversal'-Angriff ermöglicht es einem Angreifer, auf Dateien oder Verzeichnisse außerhalb des vorgesehenen Verzeichnisses zuzugreifen, indem er Sequenzen wie '..' verwendet, um die Verzeichnisstruktur zu durchlaufen.
Versionen vor 2.16.0 und 2.15.0-lts sind anfällig für diese Schwachstelle.
Überprüfen Sie die Version von Quarkus OpenAPI Generator, die Sie verwenden. Wenn sie älter als 2.16.0 oder 2.15.0-lts ist, ist Ihre Anwendung anfällig.
Als vorübergehende Maßnahme beschränken Sie den Zugriff auf das Ausgabeverzeichnis von Quarkus OpenAPI Generator und überprüfen Sie sorgfältig die Quellen der OpenAPI-Dateien.
Es wird empfohlen, die Quarkus-Versionshinweise zu konsultieren, um Informationen über andere Schwachstellen und Sicherheitsupdates zu erhalten.
Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.
Lade deine pom.xml-Datei hoch und wir sagen dir sofort, ob du betroffen bist.