CVE-2026-63499 ZipUtil.unpack de zt-zip puede cambiar permisos del directorio de salida
zt-zip, antes de 1.18.1, permite que ZipUtil.unpack(...) aplique permisos almacenados en una entrada ZIP al directorio de extracción cuando un nombre de entrada como / o ./ resuelve a ese mismo directorio. Como las comprobaciones de recorrido permiten entradas autorreferentes que no escapan del destino, la ruta de manejo de permisos del desempaquetador puede reemplazar permisos restrictivos del directorio de salida por permisos provistos por el atacante. Afecta a aplicaciones que descomprimen archivos ZIP no…
CVSS 4.0
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 20
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
zeroturnaround zt-zip
< 1.18.1
Qué hacer
- Verificá si usás zt-zip y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 4.0 · 6.9 MEDIA
CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:P/VC:N/VI:H/VA:L/SC:N/SI:N/SA:N
- Vector de ataqueLocal
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosNinguno
- Interacción del usuarioPasiva
- Confidencialidad (sistema vulnerable)Ninguna
- Integridad (sistema vulnerable)Alta
- Disponibilidad (sistema vulnerable)Baja
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
zt-zip is a Java library that provides convenience methods for ZIP archive manipulation. Prior to 1.18.1, ZipUtil.unpack(...) can apply stored ZIP-entry permissions to the extraction output directory when an entry name such as / or ./ resolves to that directory itself. Because the path traversal checks permit self-referencing entries that do not escape the destination, the unpacker's permission-handling path can replace restrictive output-directory permissions with attacker-supplied permissions. This affects applications that unpack untrusted ZIP files, and POSIX systems demonstrate the issue directly, while ZTFilePermissionsUtil.fetchDefaultStrategy provides fallback permission handling on other supported systems. This issue is fixed in version 1.18.1.
Referencias (4)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.