Son raporlara göre, Swift ve Flutter’ın yaygın olarak kullanılan ZIP kütüphanelerinde bir takım güvenlik açıkları keşfedildi.
Bu paketler çok sayıda geliştirici ve uygulama tarafından kullanılıyor ve bu da potansiyel saldırı yüzeyini önemli ölçüde artırıyor.
Geliştiriciler, uygulamanın işlevselliği için kullanılan kitaplıklar, bileşenler, kaynaklar ve diğer uygulama dosyalarından oluşan bir paket oluşturmak için ZIP paketlerini kullanır. Kötü amaçlı bir ZIP paketi, uygulamayı ciddi şekilde etkileyebilir ve güvenliğini tehlikeye atabilir.
ZIP dosyasının yapısı
Bir ZIP dosyasının yapısını oluşturan dört ana bölüm vardır. Bu parçaların ZIP arşivinin dosya adından merkezi dizinin erişimine kadar farklı işlevleri vardır. Parçalar,
- Yerel Dosya Başlığı – Dosyanın adı, sıkıştırma yöntemi, boyutu ve diğer nitelikleri gibi temel bilgileri içerir.
- Veri Tanımlayıcı – Sıkıştırılmamış verilerin, sıkıştırılmış ve sıkıştırılmamış verilerin CRC 32 (Döngüsel artıklık denetimi 32) sağlama toplamını saklar.
- Merkezi Dizin Dosya Başlığı – Arşivdeki her dosyanın meta verilerini içerir.
- Merkezi Dizin Kaydının Sonu (EOCD) – Bu, ZIP dosyasının sonunda bulunan ve aynı zamanda merkezi dizinin sonunu da belirten bölümdür.
ZIP dosyası Güvenlik açığı türleri ve CVE(ler)
ZIP dosyalarında en yaygın dört güvenlik açığı türü bulunur:
- Posta Yolu Geçişi – Uygulamanın zip girişlerinin dosya adları için yeterli doğrulaması olmadığında.
- ZIP dosyası adı sahtekarlığı – Ayrıştırıcı yalnızca Yerel dosya başlığını okursa ve dosyayı Merkezi Dizin Girişine çıkarmaya devam ederse.
- ZIP sembolik bağlantı yolu geçişi – ZIP sembolik bağlantıları, çıkarma dizini dışındaki dosyalara işaret eder; bu, hassas verilerin üzerine yazılmasına veya kod yürütülmesine yol açabilir.
- Posta Bombası – bir ZIP dosyası, çıkarıldığında Hizmet Reddine (DoS) neden olabilecek çok büyük miktarda sıkıştırılmış veri içerir.
Analiz edilen ZIP dosyaları paketi Archive, Flutter_archive, ZIPFoundation, ZIP ve ZIPArchive’ı (SSZIPArchive) içerir ve bu da dört ana güvenlik açığının keşfedilmesine yol açar.
ZIP dosya adı sahtekarlığı (CVE-2023-39137)
Arşiv paketi yalnızca Yerel Dosya başlığındaki dosya adını ayrıştırarak tutarsızlığa yol açar. Tehdit aktörleri, Yerel Dosya başlığında ve Merkezi Dizin Girişinde farklı dosya adlarına sahip kötü amaçlı bir ZIP dosyası oluşturmak için bu güvenlik açığını kullanabilir.
ZIP sembolik bağlantı yolu geçişi (CVE-2023-39139)
Ayrıca bu paketin aynı zamanda sembolik bağlantıları çıkarıldıktan sonra geri bağladığı da bulunmuştur. Buna ek olarak bağlantılar, dizin dışındaki herhangi bir yola da işaret edebilir.
ZIP sembolik bağlantı yolu geçişi (CVE-2023-39138)
ZIPfoundation paketi, zip giriş dizininden fileManager.createSymabolikLink’e giden yolu uygun bir kontrol olmadan geçirir, bu da sembolik bağlantının çıkarma dizininin dışına işaret etmesine yol açar.
Paket: Posta Kodu
ZIP yolu geçişi (CVE-2023-39135)
Zip paketi, zip dosyalarını çıkarmak için unzipfile işlevini kullanır. Bununla birlikte, zip girişindeki pathString, uygun şekilde dezenfekte edilmeden doğrudan hedefe gönderilir; bu da kötüye kullanılabilir ve yol geçişi gerçekleştirilebilir.
Hizmet Reddi (CVE-2023-39136)
ZIPArchive, dosya adlarını zip giriş yolunun başına file:\\\ öneki ekleyerek kontrol etmek için uygun temizleme işlemini uyguladı. Ancak, dosya adları /.. ile sunulursa bu atlanabilir. Ön ek, temizleme işleminin normalde 8 karakter gerektiren 7 karakterli file:\\ haline gelmesine neden olur. Bu, uygulamada Hizmet Reddi (DoS) saldırısına yol açar .
Paketlerine bağlı olarak keşfedilen zafiyetlerin özeti aşağıda verilmiştir.
| Paket | Dil | ZIP Dosya Adı Sahtekarlığı | ZIP Sembolik Bağlantısı | Posta Yolu Geçişi | Hizmet Reddi |
| Arşiv | Dart (Çırpınma) | Hassas | Savunmasız Değil | Savunmasız Değil | Savunmasız Değil |
| Flutter_arşiv | Dart (Çırpınma) | Savunmasız Değil | Savunmasız Değil | Savunmasız Değil | Savunmasız Değil |
| ZIP Vakfı | Süratli | Savunmasız Değil | Hassas | Hassas | Savunmasız Değil |
| Posta Kodu | Süratli | Savunmasız Değil | Savunmasız Değil | Hassas | Savunmasız Değil |
| ZIP Arşivi | Süratli | Savunmasız Değil | Savunmasız Değil | Savunmasız Değil | Hassas |
Bu güvenlik açıkları ilgili yazarlara bildirildi ve geliştiricilerin kötü niyetli aktörleri önlemek için güvenlik güncellemeleri konusunda güncel kalmaları önerildi.
Bizi Google Haberler, Linkedin’den takip ederek en son Siber Güvenlik Haberlerinden haberdar olun, heyecanve Facebook.