Path traversal van bestandsnamen in Keybase Client voor Windows

  • ZSB-21018
  • CVE-2021-34422
  • Hoog
  • 7.2
  • CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N

De Keybase Client voor Windows vóór versie 5.7.0 bevat een kwetsbaarheid voor path traversal bij het controleren van de naam van een bestand dat is geüpload naar een teammap. Een kwaadwillende gebruiker kon een bestand uploaden naar een gedeelde map met een speciaal gemaakte bestandsnaam, waardoor een gebruiker een toepassing kon uitvoeren die niet bedoeld was op zijn hostcomputer. Als een kwaadwillende gebruiker dit probleem zou benutten met de functie voor het delen van openbare mappen van de Keybase-client, zou dit kunnen leiden tot het op afstand uitvoeren van code.

Keybase heeft dit probleem opgelost in de release 5.7.0 Keybase Client voor Windows. Gebruikers kunnen zichzelf helpen te beveiligen door actuele updates toe te passen of de nieuwste Keybase-software met alle actuele beveiligingsupdates te downloaden van https://keybase.io/download.

Gemeld door m4t35z

Revision Date Description
1.0 11/09/2021

Eerste publicatie