在 POCO C++ 程式庫 1.8 之前的版本中，Zip/src/ZipCommon.cpp 的 ZipCommon::isValidPath() 函式未正確限制 ZIP 標頭中的檔名值，攻擊者可藉此透過特製的 ZIP 檔案，在 ZIP 解壓縮期間發動絕對路徑遊走攻擊，以及有可能建立或覆寫任意檔案，此問題與「檔案路徑插入弱點」有關。針對 Debian 7「Wheezy」，這些問題已在 1.3.6p1-4+deb7u1 版本中修正。建議您升級 poco 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Stephan Zeisberg 發現開放原始碼 C++ 類別程式庫 poco 未正確驗證 ZIP 封存中的檔案路徑。攻擊者可利用此缺陷來建立或覆寫任意檔案。

POCO C ++ 库 1.8 之前版本中 Zip/src/ZipCommon.cpp 中的 ZipCommon::isValidPath() 函数未正确限制 ZIP 标头中的文件名值，从而允许攻击者在 ZIP 解压缩期间进行绝对路径遍历攻击，并可能通过特制的 ZIP 文件创建或覆盖任意文件，这与“文件路径注入漏洞”相关。针对 Debian 7“Wheezy”，这些问题已在版本 1.3.6p1-4+deb7u1 中修复。建议您升级 poco 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Stephan Zeisberg 发现开源 C++ 类库的集合 poco 未正确验证 ZIP 存档中的文件路径。攻击者可利用此缺陷创建或覆盖任意文件。

以下のためのセキュリティ修正 CVE-2017-1000472

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ZipCommon: :1.8以前のPOCO C ++ライブラリ内のZip/src/ZipCommon.cppのisValidPath()関数は、ZIPヘッダーのファイル名の値を適切に制限しません。これにより、攻撃者がZIP伸張時の絶対パストラバーサル攻撃を行い、細工されたZIPファイルを介して、「ファイルパスインジェクションの脆弱性」に関連した、任意のファイルを作成または上書きする可能性があります。

Debian 7「Wheezy」では、これらの問題はバージョン1.3.6p1-4+deb7u1で修正されました。

お使いのpocoパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Stephan Zeisberg氏は、オープンソースのC++クラスライブラリのコレクションであるpocoが、ZIPアーカイブ内のファイルパスを正しく検証しないことを発見しました。攻撃者がこの問題を利用して、任意のファイルを作成または上書きする可能性がありました。

Security fix for CVE-2017-1000472

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The ZipCommon::isValidPath() function in Zip/src/ZipCommon.cpp in POCO C++ Libraries before 1.8 does not properly restrict the filename value in the ZIP header, which allows attackers to conduct absolute path traversal attacks during the ZIP decompression, and possibly create or overwrite arbitrary files, via a crafted ZIP file, related to a 'file path injection vulnerability'.

For Debian 7 'Wheezy', these problems have been fixed in version 1.3.6p1-4+deb7u1.

We recommend that you upgrade your poco packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Stephan Zeisberg discovered that poco, a collection of open source C++ class libraries, did not correctly validate file paths in ZIP archives. An attacker could leverage this flaw to create or overwrite arbitrary files.

ID	Name	Product	Family	Published	Updated	Severity
105734	Debian DLA-1239-1：poco 安全性更新	Nessus	Debian Local Security Checks	1/11/2018	11/6/2025	medium
105754	Debian DSA-4083-1：poco - 安全性更新	Nessus	Debian Local Security Checks	1/12/2018	11/6/2025	medium
105734	Debian DLA-1239-1：poco 安全更新	Nessus	Debian Local Security Checks	1/11/2018	11/6/2025	medium
105754	Debian DSA-4083-1：poco - 安全更新	Nessus	Debian Local Security Checks	1/12/2018	11/6/2025	medium
106516	Fedora 26：poco（2018-7349a7723e）	Nessus	Fedora Local Security Checks	1/31/2018	10/30/2025	medium
105734	Debian DLA-1239-1: pocoセキュリティ更新	Nessus	Debian Local Security Checks	1/11/2018	11/6/2025	medium
105754	Debian DSA-4083-1: poco - セキュリティ更新	Nessus	Debian Local Security Checks	1/12/2018	11/6/2025	medium
106516	Fedora 26 : poco (2018-7349a7723e)	Nessus	Fedora Local Security Checks	1/31/2018	10/30/2025	medium
105734	Debian DLA-1239-1 : poco security update	Nessus	Debian Local Security Checks	1/11/2018	11/6/2025	medium
105754	Debian DSA-4083-1 : poco - security update	Nessus	Debian Local Security Checks	1/12/2018	11/6/2025	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium