🟠 CVE-2026-19693: High Schwachstelle

„`html

Zusammenfassung

CVE-2026-19693 ist eine kritische Sicherheitslücke in der extract-zip Bibliothek (Version 2.0.1 und älter), die einen Pfad-Traversal-Angriff ermöglicht. Die Schwachstelle erlaubt es Angreifern, beliebige Dateien außerhalb des Zielverzeichnisses zu schreiben und damit potenziell das System zu kompromittieren.

Betroffene Systeme

Die Sicherheitslücke betrifft extract-zip in Version 2.0.1 und älteren Versionen. Alle Systeme, die diese Bibliothek zur Extraktion von ZIP-Archiven verwenden, sind anfällig. Dies umfasst Node.js-Anwendungen, Web-Services und automatisierte Prozesse, die ZIP-Dateien verarbeiten.

Technische Details

Die Schwachstelle liegt in der unzureichenden Validierung von Archiv-Einträgen. Das Programm überprüft nur das übergeordnete Verzeichnis jedes Eintrags, validiert aber nicht die vollständige Pfadkomponente des eigentlichen Ziels.

Ein Angreifer kann ein manipuliertes ZIP-Archiv mit zwei identisch benannten Einträgen erstellen:

• Ein Symlink, dessen Ziel außerhalb des Zielverzeichnisses liegt
• Eine reguläre Datei mit dem gleichen Namen

Bei der Extraktion wird der Symlink zuerst erstellt. Die nachfolgende reguläre Datei wird dann über den Symlink geschrieben, wodurch eine beliebige Datei außerhalb des Zielverzeichnisses überschrieben werden kann. Dies ermöglicht Remote Code Execution, Denial of Service oder die Verfälschung kritischer Systemdateien.

Empfohlene Massnahmen

• Sofortig: Upgrade auf die nächste verfügbare Version von extract-zip durchführen, die den Patch enthält
• Eingabe-Validierung implementieren und nur vertrauenswürdige ZIP-Archive verarbeiten
• Extraktionsprozesse in isolierten Umgebungen ausführen
• Datei-Zugriffe monitoren und verdächtige Schreib-Operationen außerhalb erwarteter Pfade blockieren
• Systeme regelmäßig auf unbefugte Änderungen überprüfen

Bewertung

CVSS Score: 8.1 (High)

Die Schwachstelle wird als „High“ eingestuft. Sie erfordert Netzwerk-Zugang und ermöglicht unkontrollierte Datei-Schreibvorgänge. Ein Sicherheits-Patch ist derzeit nicht verfügbar, weshalb schnelle Migrationsmassnahmen notwendig sind.

„`