adm-zip: Validierungsumgehung durch doppelte ZIP-Eintragsnamen
Zusammenfassung
Die Node.js-Bibliothek adm-zip vor Version 0.6.1 behandelt doppelte Eintragsnamen in ZIP-Archiven uneinheitlich: getEntry() liefert den letzten Duplikat-Eintrag, während extractAllTo() den ersten schreibt. Ein Angreifer kann ein präpariertes ZIP-Archiv so gestalten, dass der über getEntry() geprüfte Inhalt vom tatsächlich auf die Festplatte geschriebenen Inhalt abweicht. Voraussetzung ist eine Anwendung, die einen Archiveintrag prüft und das Archiv danach aus einer nicht vertrauenswürdigen Quelle extrahiert; die CISA-SSVC-Bewertung stuft die Automatisierbarkeit als nein und die Ausnutzung nur als Proof of Concept ein.
Betroffen
- adm-zip-Versionen vor 0.6.1 (GitHub-Advisory: <= 0.6.0)
Behoben in
- Aktualisierung auf adm-zip 0.6.1 oder neuer
Umgehung
- Die Aktualisierung auf 0.6.1 oder neuer ist die Behebung; weitere Workarounds des Herstellers sind nicht dokumentiert.
- Übergangsmassnahme (Empfehlung dieses Trackers, nicht vom Hersteller): Archive mit doppelten Eintragsnamen vor Prüfung und Extraktion ablehnen und extrahierte Dateien auf dem Datenträger prüfen statt über getEntry().
- Nach der Aktualisierung Uploads und Importe testen, da Version 0.6.1 Archive mit doppelten Eintragsnamen ablehnt und dies in einzelnen Projekten Abläufe unterbrochen hat.
Ausnutzung
- Ausnutzung: Proof of Concept verfügbar (CISA SSVC).
- Automatisierbar: nein (CISA SSVC).
- Bekannte Ausnutzung: Unbekannt.
Unsere Empfehlung
- Alle Systeme und Projekte mit adm-zip identifizieren, einschliesslich transitiver npm-Abhängigkeiten.
- Auf adm-zip 0.6.1 oder neuer aktualisieren und danach Archiv-Upload- und Importfunktionen testen.
- Bis zur Aktualisierung ZIP-Archive mit doppelten Eintragsnamen ablehnen und sich nicht allein auf getEntry()-Prüfungen verlassen.
- Hinweis: Der Schweregrad unterscheidet sich zwischen den Quellen (CVSS v4.0 8.2 im CVE-Eintrag; CVSS v3.1 5.9 in der GitHub-Advisory); das Risiko der Integritätsverletzung ist entsprechend zu planen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-p634-w6r4-rjp2 github.com
- VulnCheck advisory: adm-zip before 0.6.1 Duplicate ZIP Entry Name Validation Bypass www.vulncheck.com
- GitLab advisory GHSA-p634-w6r4-rjp2 (npm adm-zip) advisories.gitlab.com
- OSV GHSA-p634-w6r4-rjp2 osv.dev
- Upgrade caveat: duplicate entry rejection in werkyn pull request 75 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:21.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.