Plateforme
java
Composant
quarkus-openapi-generator
Corrigé dans
2.15.1
2.16.1
Quarkus OpenAPI Generator est une extension Quarkus pour la génération de clients Rest et de stubs de serveur. Avant la version 2.16.0 et 2.15.0-lts, la méthode unzip() dans ApicurioCodegenWrapper.java extrait les entrées ZIP sans valider que le chemin de fichier résolu reste dans le répertoire de sortie prévu. Cela permet à un attaquant d'écrire des fichiers en dehors du répertoire cible en utilisant des séquences de traversal de chemin dans un fichier ZIP malveillant. La version corrigée est 2.16.0.
La vulnérabilité CVE-2026-40180 dans Quarkus OpenAPI Generator affecte les versions antérieures à 2.16.0 et 2.15.0-lts. Il s'agit d'une faille de sécurité de type 'path traversal'. Le composant ApicurioCodegenWrapper.java, en particulier la méthode 'unzip()', ne valide pas correctement les chemins de fichiers extraits d'une archive ZIP. Cela permet à un attaquant, en créant une archive ZIP malveillante avec des noms de fichiers contenant des séquences de 'path traversal' (par exemple, '..'), d'écrire des fichiers en dehors du répertoire de sortie prévu. Un attaquant pourrait potentiellement écraser des fichiers sensibles sur le système, compromettant l'intégrité et la confidentialité de l'application Quarkus.
Un attaquant pourrait exploiter cette vulnérabilité en fournissant une archive ZIP malveillante à Quarkus OpenAPI Generator lors du processus de génération de clients REST ou de stubs de serveur. L'archive ZIP contiendrait des entrées avec des noms de fichiers incluant des séquences de 'path traversal', permettant à l'attaquant d'écrire des fichiers à des emplacements arbitraires sur le système de fichiers. La probabilité d'exploitation dépend de la capacité de l'attaquant à contrôler le fichier OpenAPI utilisé par Quarkus et de la configuration de l'environnement d'exécution. La complexité de l'exploitation est relativement faible, car elle ne nécessite que la création d'une archive ZIP malveillante.
Development teams using Quarkus OpenAPI Generator to automate code generation are at risk. Specifically, those using versions prior to 2.16.0 and relying on external or untrusted ZIP archives for code generation are particularly vulnerable. Shared hosting environments where multiple users can potentially influence the generated code are also at increased risk.
• java / server:
find /path/to/quarkus/output -name 'malicious.java' -print• generic web:
curl -I http://your-quarkus-app/ | grep 'Content-Type:'disclosure
Statut de l'Exploit
EPSS
0.06% (percentile 18%)
CISA SSVC
La solution pour atténuer cette vulnérabilité est de mettre à niveau vers la version 2.16.0 ou ultérieure de Quarkus OpenAPI Generator. Cette version inclut une validation appropriée des chemins de fichiers extraits, empêchant les fichiers d'être écrits en dehors du répertoire cible. Il est recommandé d'appliquer cette mise à jour dès que possible pour protéger vos applications Quarkus. De plus, examinez les sources des fichiers OpenAPI utilisés par Quarkus, en vous assurant qu'ils proviennent de sources fiables afin d'éviter l'introduction d'archives ZIP malveillantes. La mise en œuvre de contrôles d'accès stricts au répertoire de sortie peut également aider à réduire l'impact d'une éventuelle exploitation.
Actualice a la versión 2.16.0 o 2.15.0-lts de quarkus-openapi-generator para mitigar la vulnerabilidad de recorrido de directorios. Esta actualización corrige la validación de rutas al extraer archivos ZIP, evitando la escritura de archivos fuera del directorio de destino.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
Une attaque de 'path traversal' permet à un attaquant d'accéder à des fichiers ou des répertoires en dehors du répertoire prévu, en utilisant des séquences comme '..' pour naviguer dans la structure de répertoires.
Les versions antérieures à 2.16.0 et 2.15.0-lts sont vulnérables à cette vulnérabilité.
Vérifiez la version de Quarkus OpenAPI Generator que vous utilisez. Si elle est antérieure à 2.16.0 ou 2.15.0-lts, votre application est vulnérable.
En tant que mesure temporaire, restreignez l'accès au répertoire de sortie de Quarkus OpenAPI Generator et examinez attentivement les sources des fichiers OpenAPI.
Il est recommandé de consulter les notes de publication de Quarkus pour obtenir des informations sur d'autres vulnérabilités et mises à jour de sécurité.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier pom.xml et nous te dirons instantanément si tu es affecté.