Pfaddurchlauf von Dateinamen im Keybase-Client für Windows

  • ZSB-21018
  • CVE-2021-34422
  • Hoch
  • 7.2
  • CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N

Der Keybase-Client für Windows vor Version 5.7.0 weist eine Schwachstelle im Zusammenhang mit Pfaddurchlauf auf, die bei der Überprüfung des Namens einer in einen Teamordner hochgeladenen Datei auftritt. Ein böswilliger Benutzer könnte eine Datei mit einem speziell gestalteten Dateinamen in einen freigegebenen Ordner hochladen, wodurch ein Benutzer möglicherweise eine Anwendung ausführen könnte, die auf seinem Host-Rechner nicht vorgesehen ist. Sollte ein böswilliger Benutzer diese Schwachstelle in Verbindung mit der Funktion zur Freigabe öffentlicher Ordner des Keybase-Clients ausnutzen, könnte dies zur Ausführung von Code aus der Ferne führen.

Keybase hat dieses Problem in der Version 5.7.0 des Keybase-Clients für Windows behoben. Nutzer können selbst zur Sicherheit beitragen, indem sie aktuelle Updates installieren oder die neueste Keybase-Software mit allen aktuellen Sicherheitsupdates unter https://keybase.io/download herunterladen.

Berichtet von m4t35z

Revision Date Description
1.0 11/09/2021

Erstveröffentlichung