アーカイブファイル関連の脆弱性「Zip Slip」、大手プロジェクト多数に影響

» 2018年06月06日 08時30分公開

[鈴木聖子，ITmedia]

　オープンソース製品のセキュリティ対策を手掛けるSnyk Securityは6月5日、アーカイブファイルの処理に関連して、多数のオープンソースプロジェクトに影響を及ぼす重大な脆弱性を発見したと発表した。

　同社はこの脆弱性を「Zip Slip」と命名。HPやAmazon、Apache、Pivotalなどを含め、数千ものプロジェクトに影響が及ぶと説明している。

Zip Slipの特徴を解説したページ

　Snykによると、Zip Slipの脆弱性は、JavaScript、Ruby、.NET、Goといった複数のエコシステムで発見され、特にJavaで蔓延していることが判明した。「tar」「jar」「war」「cpio」「apk」「rar」「7z」など、膨大な数のアーカイブフォーマットが影響を受けるという。

　細工を施したアーカイブを使ってこの脆弱性を悪用されれば、任意のファイルが上書きされ、リモートでコマンドを実行される恐れがあるとしている。

　Snykでは2018年の4月から5月にかけて、影響を受けるベンダーやプロジェクトチームに連絡を取ったという。これを受けて、Apache Hadoop、HPのFortify Cloud Scan Jenkins Plugin、AmazonのAWS Toolkit for Eclipseなど、多数の製品やサービスで脆弱性が修正されている。

　Snykはこうしたライブラリを使っている組織などに対し、自分たちのプロジェクトでZip Slipの脆弱性があるコードを使っているかどうかチェックして、脆弱性を修正したバージョンのライブラリが使われていることを確認するよう呼び掛けている。