CNNVD 关于手机程序第三方解压缩库输入验证安全漏洞情况的通报

近日，国家信息安全漏洞库（CNNVD）收到关于手机程序第三方解压缩库输入验证安全漏洞（CNNVD-201805-440）情况的报送。成功利用该漏洞的攻击者，可以远程读取应用数据、甚至执行任意代码，具体危害与受影响应用的功能和权限相关。iOS平台内置第三方解压缩库（经验证，包括但不限于SSZipArchive和ZipArchive两种库）的应用均可能受漏洞影响，安卓平台中使用第三方解压缩库进行解压缩的应用，如果没有对解压缩路径进行检查的可能也会受到漏洞影响。目前，相关厂商暂未发布解决方案,但可通过临时解决措施缓解漏洞造成的危害。

一、漏洞介绍

手机程序第三方解压缩库输入验证安全漏洞存在于使用了第三方解压缩库的应用中。漏洞源于手机程序中的第三方解压缩库，在解压zip压缩包时并未对“../”进行过滤。手机程序在调用第三方解压缩库解压zip压缩包时未对解压路径进行检查，当从不安全的来源获得zip格式压缩包文件并解压缩时，如果该zip压缩文件被劫持插入恶意代码，可能导致任意代码执行。

二、危害影响

成功利用漏洞的攻击者，可以远程读取应用数据、甚至执行任意代码，具体危害与受影响应用的功能和权限相关。iOS平台内置第三方解压缩库（经验证，包括但不限于SSZipArchive和ZipArchive两种库）的应用均可能受漏洞影响，安卓平台中使用第三方解压缩库进行解压缩的应用，如果没有对解压缩路径进行检查的可能也会受到漏洞影响。

三、修复建议

目前，相关厂商暂未发布解决方案,但可通过临时解决方案缓解漏洞造成的危害，具体措施如下：

1.在解压缩时对最终路径做“../”文件名和符号链接的过滤。 2.使用 https 下载资源，或者对下载的文件进行校验防止被恶意修改。

本通报由CNNVD技术支撑单位——上海犇众信息技术有限公司提供支持。

CNNVD将继续跟踪上述漏洞的相关情况，及时发布相关信息。如有需要，可与CNNVD联系。