Krytyczna luka w Koha Library umożliwiająca zdalne wykonanie kodu przez nieprawidłową obsługę nazw plików ZIP

Co wiadomo

W wersjach Koha Library starszych niż 23.05.10 występuje krytyczna luka bezpieczeństwa polegająca na braku sanitacji nazw plików przed rozpakowaniem archiwów ZIP. Atakujący może wykorzystać złośliwe nazwy plików, aby wykonać dowolne polecenia systemowe podczas procesu przetwarzania obrazów.

Wpływ biznesowy

Luka ta pozwala na zdalne wykonanie kodu z uprawnieniami aplikacji Koha, co może prowadzić do przejęcia kontroli nad systemem, wycieku danych lub zakłócenia działania usług bibliotecznych. Operatorzy infrastruktury powinni traktować tę podatność jako krytyczną i priorytetowo podejść do jej eliminacji, aby zapobiec potencjalnym atakom i utracie integralności systemu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji Koha Library i wdrożenie wersji 23.05.10 lub nowszej, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, należy ograniczyć możliwość przesyłania plików ZIP przez użytkowników oraz monitorować logi systemowe pod kątem podejrzanych działań związanych z rozpakowywaniem archiwów. Warto również przeprowadzić audyt uprawnień i zabezpieczeń środowiska, aby zminimalizować ryzyko wykorzystania tej podatności.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference