SiYuan: ZipSlip -> Willekeurig Bestand Overschrijven -> RCE in github.com/siyuan-note/siyuan/kernel

De ZipSlip kwetsbaarheid ontstaat wanneer een applicatie een gecomprimeerd archief (zoals een ZIP-bestand) uitpakt en niet correct controleert of de bestandsnamen binnen het archief de padstructuur manipuleren. In dit geval kan een kwaadwillende ZIP-file worden gecreëerd die, wanneer uitgepakt door SiYuan, bestanden naar willekeurige locaties op het systeem schrijft, inclusief uitvoerbare bestanden. Dit stelt een aanvaller in staat om schadelijke code uit te voeren met de privileges van de SiYuan-proces. De impact is significant, aangezien een succesvolle exploit volledige systeemcompromittering kan veroorzaken. Dit patroon is vergelijkbaar met eerdere ZipSlip kwetsbaarheden die in andere applicaties zijn aangetroffen, en benadrukt het belang van veilige bestandspadvalidatie bij het uitpakken van archieven.

Organizations and individuals using SiYuan for note-taking, knowledge management, or any application where sensitive data is stored are at risk. This includes users who rely on SiYuan for collaborative work or data sharing, as a compromised instance could expose sensitive information to unauthorized parties. Users with older, unpatched SiYuan installations are particularly vulnerable.

• linux / server:

find /opt/siyuan/ -type f -name '*.zip' -print0 | xargs -0 grep -i '\\..' # Check for double backslashes in ZIP files

• go / supply-chain: Inspect SiYuan's Go dependencies for known vulnerabilities using go mod tidy and go vet. • generic web: Monitor web server access logs for requests containing ZIP files with unusual or deeply nested directory structures. • linux / server:

journalctl -u siyuan -g "zip extraction" # Look for errors related to zip extraction

1. 2025-12-15Disclosure

   disclosure

2. 2025-12-15Patch

   patch

1. Gereserveerd2025-12-08
2. Gepubliceerd2025-12-15
3. Gewijzigd2026-03-03
4. EPSS bijgewerkt2026-03-23

De primaire mitigatie voor CVE-2025-67488 is het upgraden van SiYuan naar versie 3.5.0 of hoger, waarin de kwetsbaarheid is verholpen. Indien een directe upgrade niet mogelijk is, kan een tijdelijke workaround bestaan uit het beperken van de locaties waar SiYuan ZIP-bestanden kan uitpakken. Dit kan worden bereikt door de applicatie te configureren om alleen ZIP-bestanden uit te pakken in een specifieke, gecontroleerde map. Het implementeren van een Web Application Firewall (WAF) die ZIP-bestanden scant op verdachte bestandsnamen en padmanipulaties kan ook helpen. Voor detectie kunnen signaturen worden ontwikkeld om ongebruikelijke bestandspaden tijdens het uitpakken te identificeren.