PILZ: PASvisu and PMI affected by ZipSlip

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• pilz pasvisuдо 1.12.0
• pilz pmi v507 firmwareдо 1.3.58 включительно
• pilz pmi v512 firmwareдо 1.3.58 включительно
• pilz pmi v704e firmwareдо 2.2.0
• pilz pmi v707e firmwareдо 2.2.0
• pilz pmi v807 firmwareдо 1.6.102
• pilz pmi v812 firmwareдо 1.6.102
• pilz pmi v815 firmwareдо 1.6.102

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (CERTVDE). Не зависят от анализа CPE в NVD и обычно опережают его.

• PILZ PASvisu

  • 1.0.0 и новее · до 1.12.0затронута · semver

• PILZ PMI v5xx (265507 + 265512)

  • 1.0.0 и новее · до 1.3.58 включительнозатронута · semver

• PILZ PMI v7xx (266704 + 266707)

  • 1.0.0 и новее · до 2.2.0затронута · semver

• PILZ PMI v8xx (266807, 266812, 266815)

  • 1.0.0 и новее · до 1.6.102затронута · semver

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Имя файла, переданное пользователем, объединяется с разрешённым каталогом, но не проверяется, остаётся ли результат внутри этого каталога.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const file = path.join(ROOT, req.query.name);2res.sendFile(file);

1const file = path.resolve(ROOT, req.query.name);2if (!file.startsWith(ROOT + path.sep)) {3  return res.sendStatus(400);4}5res.sendFile(file);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.