zip Canoniza Incorrectamente las Rutas durante la Extracción de Archivos, Lo Que Conduce a una Escritura Arbitraria de Archivos

Un atacante puede explotar esta vulnerabilidad creando un archivo ZIP especialmente diseñado que contenga enlaces simbólicos. Al extraer este archivo ZIP, el proceso de extracción puede ser engañado para escribir archivos fuera del directorio de destino previsto, permitiendo la sobreescritura de archivos sensibles del sistema. Esto podría resultar en la ejecución de código arbitrario, la modificación de datos críticos o el compromiso total del sistema. La vulnerabilidad se basa en un patrón similar al conocido como 'zip-slip', donde la validación de las rutas canónicas de los archivos extraídos es insuficiente.

Applications and systems that utilize the zip crate for archive handling are at risk. This includes Rust-based applications that process user-uploaded ZIP files, automated build systems that extract dependencies from ZIP archives, and any system where ZIP files are extracted without proper validation. Shared hosting environments where multiple users can upload ZIP files are particularly vulnerable.

• rust/supply-chain: Examine your Cargo.toml file for dependencies on the zip crate and ensure you are using version 2.3.0 or later. Use cargo outdated to identify outdated dependencies.

cargo outdated

• linux/server: Monitor system logs for unusual file creation or modification events within unexpected directories, particularly during archive extraction processes. Use auditd to track file access events.

auditctl -w /path/to/protected/directory -p wa -k zip_extraction

• generic web: If your application handles ZIP file uploads, implement strict input validation and sanitization to prevent malicious archives from being processed. Check for unusual symbolic link patterns in uploaded ZIP files.

1. 2025-03-17Disclosure

   disclosure

2. 2025-03-17Patch

   patch

1. Reservado2025-03-11
2. Publicada2025-03-17
3. Modificada2026-02-04
4. EPSS actualizado2026-04-02

La solución principal es actualizar la biblioteca zip a la versión 2.3.0 o superior, que incluye la corrección para esta vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de mitigación como restringir los permisos de escritura en el directorio de extracción, utilizar herramientas de extracción que realicen una validación más estricta de las rutas de los archivos o implementar un sistema de sandboxing para limitar el acceso del proceso de extracción al sistema de archivos. Después de la actualización, verifique la integridad del sistema de archivos para detectar cualquier archivo modificado de forma maliciosa.