Fallstudie: Beinahe-Vorfall bei Archiv-Pfad-Traversal
Wie ein Bug im Archiv-Extraktionspfad waehrend QA entdeckt und vor groesserem Schaden neutralisiert wurde.
Archiv
Sicherheit
Signal
Ein QA-Lauf erkannte extrahierte Dateipfade, die das erwartete Temp-Verzeichnis waehrend des Entpackens verliessen.
Root Cause
Die Pfadnormalisierung erfolgte erst nach der Write-Pfad-Konkatenation, sodass praezise manipulierte Eintraege mit Traversal-Segmenten die Verzeichnisgrenzen umgehen konnten.
Fix
- Archiv-Eintragspfade vor jedem Write normalisieren und validieren.
- Absolute Pfade und Traversal-Tokens ablehnen.
- Grenzen fuer expandierte Groesse und Dateianzahl erzwingen.
Regression Guard
Boesartige Archiv-Fixtures in Sicherheitstests aufgenommen und Extraktionsrichtlinien-Checks in CI fuer archivbezogene Aenderungen verpflichtend gemacht.
Empfohlene Werkzeuge
Manifest-Diff
Vergleichen Sie zwei Manifeste, um hinzugefuegte, entfernte oder geaenderte Dateien zu finden.
Werkzeug oeffnenChecksum-Generator und Verifizierer
Berechnen Sie SHA256-Werte und pruefen Sie die Dateiintegritaet gegen erwartete Hashes.
Werkzeug oeffnen