Średnia

ZipSlip in org.apache.storm:storm-core

Ujawniono: 16.10.2018
Aktualizacja: 11.10.2026 12:21

Apache Storm version 1.0.6 and earlier, 1.2.1 and earlier, and version 1.1.2 and earlier expose an arbitrary file write vulnerability, that can be achieved using a specially crafted zip archive (affects other archives as well, bzip2, tar, xz, war, cpio, 7z), that holds path traversal filenames. So when the filename gets concatenated to the target extraction directory, the final path ends up outside of the target folder.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Java / Kotlin (Maven)	org.apache.storm:storm-core	>= 1.1.0, < 1.1.3, >= 1.2.0, < 1.2.2, < 1.0.7	1.1.3, 1.2.2, 1.0.7

Odnośniki

Ocena CVSS 5.5/10

Wektor CVSS: CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N
Słabość (CWE): CWE-22
Platforma: Java / Kotlin (Maven)
Paczka: org.apache.storm:storm-core
Ujawniono: 16.10.2018
Aktualizacja: 11.10.2026 12:21

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-898j-5cc8-cmf5 - CC BY 4.0

Historia podatności: org.apache.storm:storm-core

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 6
Pierwsza → ostatnia: 10.2018 11.2023
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Wysoka 3
Średnia 3

Ujawnienia w latach

2018: 4
2019: 0
2020: 0
2021: 0
2022: 1
2023: 1
2024: 0
2025: 0
2026: 0

23.11.2023

Apache Storm Local Information Disclosure Vulnerability in Storm-core on Unix-Like systems due temporary files

Średnia · 5.5 CVE-2023-43123 >= 2.0.0, < 2.6.0 2.6.0
24.05.2022

Exposure of Sensitive Information in Apache Storm Logviewer

Wysoka · 7.5 CVE-2019-0202 >= 0.9.1-incubating, < 1.2.3 1.2.3
17.10.2018

Moderate severity vulnerability that affects org.apache.storm:storm-core

Średnia · 6.5 CVE-2018-1332 < 1.1.3, >= 1.2.0, < 1.2.2 1.1.3, 1.2.2
17.10.2018

Code execution in org.apache.storm:storm-core

Wysoka · 8.8 CVE-2018-1331 >= 1.2.0, < 1.2.2, < 1.1.3 1.2.2, 1.1.3
17.10.2018

Apache Storm it is possible for the owner of a topology to trick the supervisor to launch a worker as a different, non-root, user

Wysoka · 8.8 CVE-2017-9799 >= 1.1.0, < 1.1.1, >= 1.0.0, < 1.0.4 1.1.1, 1.0.4
16.10.2018

ZipSlip in org.apache.storm:storm-core ten wpis

Średnia · 5.5 CVE-2018-8008 >= 1.1.0, < 1.1.3, >= 1.2.0, < 1.2.2, < 1.0.7 1.1.3, 1.2.2, 1.0.7

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację