Uma vulnerabilidade crítica do Zip Slip foi descoberta na ferramenta de limpeza e transformação de dados de código aberto ‘OpenRefine’, que permitiu que invasores importassem código malicioso e executassem código arbitrário.
OpenRefine é uma ferramenta forte, gratuita e de código aberto baseada em Java para lidar com dados confusos. Isso inclui limpá-lo, convertê-lo em um formato diferente e expandi-lo com serviços web e dados externos.
De acordo com SonarCloud, a vulnerabilidade Zip Slip no OpenRefine permite que invasores sobrescrevam arquivos existentes ou extraiam conteúdo para locais inesperados. Esta vulnerabilidade é causada por validação de caminho insuficiente durante a extração de arquivos.
Documento
Detalhes da vulnerabilidade OpenRefine Zip Slip
O recurso de importação de projetos das versões OpenRefine 3.7.3 e anteriores são vulneráveis a uma vulnerabilidade Zip Slip (CVE-2023-37476) com uma pontuação CVSS de 7.8.
Embora o OpenRefine se destine apenas à execução local no computador do usuário, o usuário pode ser induzido a importar um arquivo de projeto malicioso. Depois que esse arquivo for importado, o invasor poderá executar código arbitrário no computador da vítima.
“A vulnerabilidade oferece aos invasores um primitivo forte: gravar arquivos com conteúdo arbitrário em um local arbitrário no sistema de arquivos. Para aplicativos executados com privilégios de root, existem dezenas de possibilidades para transformar isso em execução de código arbitrário no sistema operacional: adicionar um novo usuário ao arquivo passwd, adicionar uma chave SSH, criar um cron job e muito mais”, pesquisadores disseram.
Correção disponível
Versão OpenRefine 3.7.4publicado em 17 de julho de 2023, traz uma solução para o problema.
À luz disso, recomenda-se que os usuários atualizem para OpenRefine 3.7.4 assim que possível.
