Amazon Linux 2023：apache-ivy、apache-ivy-javadoc (ALAS2023-2023-174)

critical Nessus 插件 ID 175079

语言：

简介

远程 Amazon Linux 2023 主机缺少安全更新。

描述

因此，如公告 ALAS2023-2023-174 所述，该主机受到多个漏洞的影响。

- Apache Ivy 2.4.0 版中引入了一个可选的包装属性，可允许在使用 pack200 或 zip 包装时即时解包项目。对于使用 zip、jar 或 war 封装的构件，2.5.1 版之前的 Ivy 在提取存档文件时不验证目标路径。包含绝对路径或尝试使用 .. 序列向上遍历的路径的存档随后可以将文件写入执行 Ivy 的用户具有写入权限的本地文件系统上的任何位置。拥有版本 2.4.0 至 2.5.0 的 Ivy 用户应升级到 Ivy 2.5.1。(CVE-2022-37865)

- 当 Apache Ivy 从存储库下载构件时，它会根据用户提供的模式将其存储在本地文件系统中，该模式可能包含构件坐标的占位符，例如组织、模块或版本。如果所述坐标包含 ../ 序列（通常是 Ivy 坐标的有效字符），则这些构件可能存储在 Ivy 的本地缓存或存储库之外，或者可以覆盖本地缓存内的不同构件。为了利用此漏洞，攻击者需要远程存储库的协作，因为 Ivy 将发出包含 .. 序列的 http 请求，而普通存储库不会将它们解释为构件坐标的一部分。拥有版本 2.0.0 至 2.5.1 的 Apache Ivy 用户应升级到 Ivy 2.5.1。(CVE-2022-37866)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。