Snyk hat am 5. Juni 2018 die Sicherheitslücke Zip Slip öffentlich beschrieben. Fehler in Archivbibliotheken können dazu führen, dass manipulierte Archive Dateien außerhalb des vorgesehenen Zielordners überschreiben.
Die Analyse betrifft mehrere Programmiersprachen und Archivformate. Genannt werden unter anderem JavaScript, Ruby, .NET und Go sowie ZIP, TAR, JAR, WAR, CPIO, APK, RAR und 7z. Besonders häufig trat das Problem laut Snyk in Java-Projekten auf, weil dort lange Zeit keine zentrale Bibliothek für die Verarbeitung von ZIP-Dateien verfügbar war.
Archivpfade verlassen das Zielverzeichnis
Ein Angreifer platziert in einem Archiv Dateinamen mit Verzeichniswechseln wie ../../evil.sh. Verwendet die Anwendung diesen Namen beim Entpacken ungeprüft, kann die Datei außerhalb des Zielordners geschrieben werden. Je nach Speicherort lassen sich damit Konfigurationsdateien, ausführbare Dateien oder Skripte ersetzen.
Snyk beschreibt neben dem Überschreiben beliebiger Dateien auch mögliche Codeausführung. Das Risiko betrifft nicht nur Server, sondern ebenso Entwicklerrechner und Programme, die Archive aus fremden Quellen automatisch entpacken. Ein Archiv muss dafür nicht selbst ausführbaren Code enthalten, wenn es eine später gestartete Datei oder Konfiguration ersetzen kann.
Abhängigkeiten und Build-Systeme prüfen
Snyk führte betroffene Bibliotheken und Projekte in einem öffentlichen Repository auf und verwies auf bereits veröffentlichte Korrekturen. Entwicklerteams mussten deshalb direkte und transitive Abhängigkeiten prüfen, aktualisierte Versionen einspielen und eigene Archivpfade gegen das Zielverzeichnis validieren.
Für Spiele- und Softwareteams gehört diese Prüfung zur Build-Kette. Neben lokalen Arbeitskopien müssen auch automatisierte Exporte, Paketierungswerkzeuge und CI-Systeme berücksichtigt werden. Die frühere Meldung zu Git zeigte bereits, dass Sicherheitsfehler in Versionsverwaltungs- und Build-Werkzeugen Entwicklerrechner ebenso betreffen können wie Server.