低危 rubyzip gem Zip::File组件目录遍历漏洞

CVE编号

CVE-2017-5946

利用情况

暂无

补丁情况

官方补丁

披露时间

2017-02-27

漏洞描述

rubyzip gem是一个用于读写zip文件的Ruby库。 rubyzip gem的Zip::File组件存在目录遍历漏洞。攻击者可利用漏洞通过上传恶意的文件向文件系统中写入任意的文件。

解决建议

用户可参考如下厂商提供的安全补丁以修复该漏洞：https://github.com/rubyzip/rubyzip/issues/315

参考链接
http://www.debian.org/security/2017/dsa-3801
http://www.securityfocus.com/bid/96445
https://github.com/rubyzip/rubyzip/issues/315
https://github.com/rubyzip/rubyzip/releases

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	rubyzip_project	rubyzip	*		Up to (excluding) 1.2.1
	运行在以下环境
	系统	debian	DPKG	*		Up to (excluding) 1.2.0-1.1
	运行在以下环境
	系统	debian_10	ruby-zip	*		Up to (excluding) 1.2.0-1.1
	运行在以下环境
	系统	debian_11	ruby-zip	*		Up to (excluding) 1.2.0-1.1
	运行在以下环境
	系统	debian_12	ruby-zip	*		Up to (excluding) 1.2.0-1.1
	运行在以下环境
	系统	debian_7	libzip-ruby	*		Up to (excluding) 0.9.4-1+deb7u1
	运行在以下环境
	系统	debian_8	ruby-zip	*		Up to (excluding) 1.1.6-1+deb8u1
	运行在以下环境
	系统	debian_sid	ruby-zip	*		Up to (excluding) 1.2.0-1.1
	运行在以下环境
	系统	opensuse_Leap_42.2	ruby2.1-rubygem-rubyzip	*		Up to (excluding) 1.1.7-8.1
	运行在以下环境
	系统	opensuse_Leap_42.3	ruby2.1-rubygem-rubyzip	*		Up to (excluding) 1.1.7-8.1
	运行在以下环境
	系统	ubuntu_12.04.5_lts	libzip-ruby	*		Up to (excluding) 0.9.4-1+deb7u1build0.12.04.1
	运行在以下环境
	系统	ubuntu_18.04.5_lts	ruby-zip	*		Up to (excluding) 1.2.0-1.1
	运行在以下环境
	系统	ubuntu_18.10	ruby-zip	*		Up to (excluding) 1.2.0-1.1

阿里云评分 3.1

• 攻击路径 远程
• 攻击复杂度 复杂
• 权限要求 无需权限
• 影响范围 有限影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 无影响
• 数据完整性 无影响
• 服务器危害 无影响
• 全网数量 100

CWE-ID	漏洞类型
CWE-22	对路径名的限制不恰当（路径遍历）

Exp相关链接

- avd.aliyun.com