Plataforma
other
Componente
arc
Corregido en
1.6.0
La vulnerabilidad CVE-2023-5938 es un fallo de Path Traversal descubierto en Arc, afectando versiones desde 0 hasta 1.6.0. Esta falla permite a un atacante, al manipular archivos procesados por la aplicación, extraer archivos a ubicaciones arbitrarias en el sistema de archivos. La actualización a la versión 1.6.0 soluciona esta vulnerabilidad.
Un atacante que pueda proporcionar archivos manipulados a Arc puede explotar esta vulnerabilidad de Path Traversal, también conocida como 'zip slip'. Al controlar los nombres de los archivos dentro de un archivo comprimido (como un ZIP), el atacante puede forzar a Arc a extraer archivos a ubicaciones inesperadas en el sistema de archivos. Esto podría resultar en la sobrescritura de archivos de configuración críticos, archivos de sistema o incluso ejecutables, lo que podría llevar a la ejecución de código arbitrario en el sistema afectado. El impacto potencial es significativo, pudiendo comprometer la integridad y confidencialidad del sistema.
Actualmente no se dispone de información pública sobre campañas de explotación activas dirigidas a CVE-2023-5938. La vulnerabilidad fue publicada el 15 de mayo de 2024. No se ha añadido a la lista KEV de CISA. La disponibilidad de un Proof of Concept (PoC) público podría aumentar el riesgo de explotación.
Organizations and individuals using Arc for file archiving, particularly those who allow users to upload archives or process archives from untrusted sources, are at risk. Systems with legacy Arc installations or those lacking robust file access controls are especially vulnerable.
disclosure
Estado del Exploit
EPSS
0.45% (64% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para CVE-2023-5938 es actualizar Arc a la versión 1.6.0 o superior, donde la vulnerabilidad ha sido corregida. Si la actualización inmediata no es posible, se recomienda implementar controles de seguridad adicionales. Restrinja el acceso a los archivos que Arc procesa, asegurándose de que solo usuarios autorizados puedan subir o modificar archivos. Implemente una validación estricta de los nombres de los archivos dentro de los archivos comprimidos antes de que Arc los procese. Considere el uso de un Web Application Firewall (WAF) para filtrar solicitudes maliciosas que intenten explotar esta vulnerabilidad. Después de la actualización, confirme la corrección verificando que Arc no permita la extracción de archivos a ubicaciones arbitrarias.
Actualice Arc a la versión 1.6.0 o superior. Esta versión corrige la vulnerabilidad de path traversal 'zip slip' al validar correctamente los nombres de archivo dentro de los archivos. Asegúrese de que la actualización se realice en un entorno de prueba antes de aplicarla a producción.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2023-5938 is a Path Traversal vulnerability in Arc versions 0.0 - 1.6.0, allowing attackers to extract files to arbitrary locations via malicious archives.
If you are using Arc versions 0.0 through 1.6.0, you are potentially affected by this vulnerability. Check your Arc version and upgrade if necessary.
Upgrade Arc to version 1.6.0 or later to remediate the vulnerability. If immediate upgrade is not possible, restrict archive processing and implement file access controls.
As of now, there are no publicly known active exploits for CVE-2023-5938, but the potential impact warrants vigilance.
Refer to the official Arc project website or security advisories for the latest information and updates regarding CVE-2023-5938.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.