CVE-2023-5938 是 Arc 应用程序中发现的路径遍历漏洞。该漏洞允许攻击者通过提供恶意压缩包，将任意文件提取到文件系统中的任意位置，从而可能导致系统关键影响，例如执行任意命令。该漏洞影响 Arc 的 0 到 1.6.0 版本。建议立即升级至 1.6.0 版本以修复此问题。
攻击者可以利用此路径遍历漏洞，通过提供精心构造的压缩包，绕过 Arc 应用程序的安全机制。攻击者可以控制压缩包中的文件名，从而将文件提取到文件系统中的任意位置。这可能导致攻击者覆盖关键系统文件，执行恶意代码，甚至完全控制受害者机器。例如，攻击者可以覆盖 Arc 的配置文件，使其在启动时执行恶意命令。由于 Arc 应用程序可能在具有管理员权限的环境中运行，因此此漏洞的潜在影响非常严重，可能导致整个系统的安全受到威胁。
目前尚无公开的利用代码（PoC），但该漏洞的潜在影响非常严重，因此应尽快修复。该漏洞属于“zip slip”攻击类型，与类似的安全漏洞具有相似的攻击模式。CISA 尚未将其添加到 KEV 目录，但建议密切关注相关安全动态。
Organizations and individuals using Arc for file archiving, particularly those who allow users to upload archives or process archives from untrusted sources, are at risk. Systems with legacy Arc installations or those lacking robust file access controls are especially vulnerable.
disclosure
漏洞利用状态
EPSS
0.45% (64% 百分位)
CISA SSVC
CVSS 向量
最有效的缓解措施是立即将 Arc 升级至 1.6.0 或更高版本，该版本修复了此漏洞。如果无法立即升级，可以考虑以下临时缓解措施：限制 Arc 应用程序的访问权限，使其只能访问必要的文件和目录。实施严格的文件输入验证，以防止攻击者提供恶意压缩包。监控 Arc 应用程序的日志文件，以检测任何可疑活动。如果怀疑系统已被入侵，请立即进行安全调查并采取必要的补救措施。
Actualice Arc a la versión 1.6.0 o superior. Esta versión corrige la vulnerabilidad de path traversal 'zip slip' al validar correctamente los nombres de archivo dentro de los archivos. Asegúrese de que la actualización se realice en un entorno de prueba antes de aplicarla a producción.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2023-5938 是 Arc 应用程序中发现的路径遍历漏洞，允许攻击者通过提供恶意压缩包，将任意文件提取到文件系统中的任意位置。
如果您正在使用 Arc 的 0 到 1.6.0 版本，则可能受到此漏洞的影响。请立即升级至 1.6.0 或更高版本。
最有效的修复方法是立即将 Arc 升级至 1.6.0 或更高版本。
目前尚无公开的利用代码，但由于漏洞的严重性，建议密切关注相关安全动态。
请访问 Arc 官方网站或 GitHub 仓库，查找有关 CVE-2023-5938 的安全公告。