1. 墨知首页
  2. 漏洞

minizip-ng<4.0.3 存在堆缓冲区溢出漏洞 (CVE-2023-48106)

• 漏洞
漏洞类型 堆缓冲区溢出 发现时间 2023-11-23 漏洞等级 高危
MPS编号 MPS-7wpn-d9ve CVE编号 CVE-2023-48106 漏洞影响广度 小
目录 隐藏
1 漏洞危害
2 影响范围及处置方案
2.1 OSCS 平台影响范围和处置方案
3 排查方式

漏洞危害

OSCS 描述
minizip-ng 是一个开源的压缩库，用于创建和解压ZIP格式文件。
minizip-ng 4.0.3之前版本中的 mz_os.c#mz_path_resolve 方法存在堆缓冲区溢出漏洞，攻击者可诱导受害者解压恶意压缩文件远程执行恶意代码。
参考链接：https://www.oscs1024.com/hd/MPS-7wpn-d9ve

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
minizip-ng [2.0.0, 4.0.3) 升级 将 minizip-ng 升级至 4.0.3 及以上版本
参考链接：https://www.oscs1024.com/hd/MPS-7wpn-d9ve

排查方式

方式1：使用漏洞检测CLI工具来排查使用文档：https://www.murphysec.com/docs/faqs/integration/cli.html
方式2：使用漏洞检测IDEA插件排查使用文档：https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3：接入GitLab进行漏洞检测排查使用文档：https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式：https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-7wpn-d9ve

https://nvd.nist.gov/vuln/detail/CVE-2023-48106

https://github.com/zlib-ng/minizip-ng/issues/740

https://github.com/Akane0721/POC/blob/f37d805631e0a15bea1f15b6e1edfb3246a2e0fc/minizip-ng/poc1

https://github.com/pmqs/minizip-ng/commit/8678c33ecc5f225d64e416ad69beb1cf5272df1d

赞 (0)
上一篇 2023年11月23日 上午10:00
下一篇 2023年11月23日 下午12:00

相关推荐

  • jeecg-boot/积木报表基于H2驱动的任意代码执行漏洞 [有POC] 漏洞

    jeecg-boot/积木报表基于H2驱动的任意代码执行漏洞 [有POC]

    漏洞类型 代码注入 发现时间 2023/8/11 漏洞等级 高危 MPS编号 MPS-bjs4-n6dm CVE编号 – 漏洞影响广度 广 漏洞危害 OSCS 描述 JeecgBoot 是一款开源的的低代码开发平台，积木报表是其中的低代码报表组件。JeecgBoot 受影响版本中，由于 jeecg-boot/jmreport/testConnec…

    2023年9月1日
    0
  • MLflow <2.9.2 任意文件读取漏洞（is_local_uri绕过） (CVE-2023-6977) 漏洞

    MLflow <2.9.2 任意文件读取漏洞（is_local_uri绕过） (CVE-2023-6977)

    漏洞类型 路径遍历 发现时间 2023-12-21 漏洞等级 严重 MPS编号 MPS-06sl-jy9a CVE编号 CVE-2023-6977 漏洞影响广度 一般 漏洞危害 OSCS 描述 MLflow 是用于机器学习全生命周期管理的开源工具。 在MLflow

    2023年12月22日
    0
  • Apache OFBiz 未授权远程代码执行漏洞 (CVE-2023-49070) 漏洞

    Apache OFBiz 未授权远程代码执行漏洞 (CVE-2023-49070)

    漏洞类型 反序列化 发现时间 2023-12-05 漏洞等级 严重 MPS编号 MPS-ope5-i4zj CVE编号 CVE-2023-49070 漏洞影响广度 一般 漏洞危害 OSCS 描述 Apache OFBiz 是一个开源的企业资源计划系统。Apache XML-RPC 是 XML-RPC 的 Java 实现，XML-RPC 是一种使用 XML o…

    2023年12月6日
    0
  • tough-cookie<4.1.3 存在原型污染漏洞 漏洞

    tough-cookie<4.1.3 存在原型污染漏洞

    漏洞类型 原型污染 发现时间 2023/7/1 漏洞等级 中危 MPS编号 MPS-esyq-56vx CVE编号 – 漏洞影响广度 一般 漏洞危害 OSCS 描述 tough-cookie 是一个用于处理 HTTP cookie 的 JavaScript 库。受影响版本中的 rejectPublicSuffixes=false 模式下使用 Co…

    2023年8月30日
    0
  • Axios XSRF-TOKEN CSRF漏洞 (CVE-2023-45857) 漏洞

    Axios XSRF-TOKEN CSRF漏洞 (CVE-2023-45857)

    漏洞类型 侵犯隐私 发现时间 2023-11-09 漏洞等级 高危 MPS编号 MPS-v3q7-sjd2 CVE编号 CVE-2023-45857 漏洞影响广度 广 漏洞危害 OSCS 描述 Axios 是一个基于 Promise 的浏览器和 Node.js 的 HTTP 客户端。 在 Axios 受影响版本中，当 XSRF-TOKEN cookie 可用…

    2023年11月10日
    0