平台
go
组件
github.com/mholt/archiver
修复版本
3.5.2
3.5.2
CVE-2025-3445 是 github.com/mholt/archiver 库中的路径遍历漏洞。攻击者可以通过构造恶意的 ZIP 文件，读取服务器上的任意文件，造成敏感信息泄露。该漏洞影响 3.0.0 及更早版本，建议尽快升级至 3.0.1 版本以修复。
该路径遍历漏洞允许攻击者绕过正常的访问控制机制，直接访问服务器文件系统中的敏感数据。攻击者可以利用此漏洞读取配置文件、源代码、数据库凭据等重要信息。如果服务器运行在公共环境中，或者与其他系统共享文件，该漏洞的潜在影响将更大，可能导致数据泄露、系统入侵甚至远程代码执行。攻击者可能利用此漏洞获取服务器的内部网络访问权限，从而进行进一步的攻击。
该漏洞已公开披露，且存在潜在的利用风险。目前尚未观察到大规模的利用活动，但由于漏洞的易利用性，建议尽快采取缓解措施。该漏洞尚未被添加到 CISA KEV 目录，但由于其潜在影响，应予以高度关注。公开的 PoC 可能会出现，因此需要持续监控。
Applications and services that utilize the github.com/mholt/archiver Go library to process ZIP files are at risk. This includes applications that handle user-uploaded ZIP files or process ZIP archives from external sources. Go developers integrating this library into their projects should prioritize upgrading.
• go / supply-chain: Inspect dependencies for vulnerable versions of github.com/mholt/archiver. Use go list -m all and filter for versions < 3.0.1.
go list -m all | grep github.com/mholt/archiver | grep "< 3.0.1"• generic web: Monitor web server access logs for requests containing suspicious ZIP file uploads with path traversal sequences (e.g., ../../../../etc/passwd).
• generic web: Check for directory listings enabled on the server that could expose ZIP files.
disclosure
漏洞利用状态
EPSS
0.67% (71% 百分位)
CISA SSVC
CVSS 向量
最有效的缓解措施是立即升级至 github.com/mholt/archiver 3.0.1 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：限制 ZIP 文件的上传和处理，对上传的文件进行严格的验证，确保 ZIP 文件不包含恶意路径。可以使用 Web 应用防火墙 (WAF) 来检测和阻止包含恶意路径的 ZIP 文件。此外，建议定期审查服务器上的文件权限，确保只有授权用户才能访问敏感文件。
Actualice a una versión de la librería mholt/archiver que no sea vulnerable. Considere migrar a mholt/archives, el sucesor de mholt/archiver, que ha eliminado la funcionalidad Unarchive(). Si no es posible actualizar, evite usar la función archiver.Unarchive() con archivos ZIP provenientes de fuentes no confiables.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2025-3445 是 github.com/mholt/archiver 库中的一个路径遍历漏洞，攻击者可以通过构造恶意的 ZIP 文件读取服务器上的任意文件。
如果您正在使用 github.com/mholt/archiver 3.0.0 或更早版本，则可能受到此漏洞的影响。
升级至 github.com/mholt/archiver 3.0.1 或更高版本以修复此漏洞。
虽然目前尚未观察到大规模的利用活动，但由于漏洞的易利用性，建议尽快采取缓解措施。
请查阅 github.com/mholt/archiver 的官方仓库或相关安全公告，以获取更多信息。
上传你的 go.mod 文件，立即知道是否受影响。