San Zip Slip, che scivolava fuori dalla cartella

Patrono degli archivi compressi, dei percorsi con troppi punti e degli sviluppatori che estraggono senza guardare.

Vita

Il 5 giugno 2018 Snyk rivelò che migliaia di progetti, Java in testa, estraevano archivi ZIP, TAR e simili fidandosi ciecamente dei nomi dei file. Un archivio con dentro una voce come ../../etc/qualcosa scivolava fuori dalla cartella di destinazione e sovrascriveva ciò che voleva, fino all'esecuzione di codice. Tra i tanti c'era anche Apache Storm, che ne ricevette il CVE.

Preghiera

O San Zip Slip, che con due punti e una barra esci da ogni recinto, fa' che i nostri estrattori normalizzino i percorsi. Amen.

Come si festeggia

Si festeggia controllando che ogni file estratto resti dentro la cartella prevista e diffidando degli archivi che arrivano da fuori.

Punto punto barra, e l'archivio sbarra.