Guava 不安全的临时文件漏洞(CVE-2023-2976)

admin

0
文章

0
评论

2023-11-29 23:04:17 Ali_nvd 来源：ZONE.CI 全球网 0 阅读模式

中危 Guava 不安全的临时文件漏洞(CVE-2023-2976)

CVE编号

CVE-2023-2976

利用情况

暂无

补丁情况

官方补丁

披露时间

2023-06-15

漏洞描述

Guava 是 Google 公司开发的开源 Java 代码库。 Guava 1.0 至 31.1 版本中的 FileBackedOutputStream 类使用Java的默认临时目录创建文件，由于创建的文件名容易被攻击者猜测，在 Unix 和 Android Ice Cream Sandwich 系统中，允许具有访问默认 Java 临时目录权限的攻击者可创建同名的恶意文件造成文件冲突，破坏应用程序的正常功能。 32.0.0 版本修复了此漏洞但是与 Windows 系统不兼容，建议 Windows 系统升级到 32.0.1 版本。

解决建议

"将 com.google.guava:guava 升级至 32.0.0 及以上版本""1. 将临时文件目录更改为一个安全目录，并确保该目录具有适当的权限设置;\n2. 使用 tmpnam 等安全函数创建临时文件"

参考链接
https://github.com/google/guava/issues/2575
https://security.netapp.com/advisory/ntap-20230818-0008/

受影响软件情况

1
#	类型	厂商	产品	版本	影响面
	运行在以下环境
	应用	google	guava	*		Up to (excluding) 32.0.1
	运行在以下环境
	系统	amazon_2023	guava	*		Up to (excluding) 31.0.1-3.amzn2023.0.5
	运行在以下环境
	系统	debian_10	guava-libraries	*		Up to (including) 19.0-1
	运行在以下环境
	系统	debian_11	guava-libraries	*		Up to (including) 29.0-6
	运行在以下环境
	系统	debian_12	guava-libraries	*		Up to (including) 31.1-1
	运行在以下环境
	系统	debian_sid	guava-libraries	*		Up to (excluding) 32.0.1-1
	运行在以下环境
	系统	kylinos_aarch64_V10	guava20	*		Up to (excluding) 25.0-6.ky10
	运行在以下环境
	系统	kylinos_aarch64_V10SP2	guava20	*		Up to (excluding) 25.0-6.ky10
	运行在以下环境
	系统	kylinos_aarch64_V10SP3	guava20	*		Up to (excluding) 25.0-6.ky10
	运行在以下环境
	系统	kylinos_loongarch64_V10SP1	guava20	*		Up to (excluding) 25.0-6.a.ky10
	运行在以下环境
	系统	kylinos_loongarch64_V10SP3	guava20	*		Up to (excluding) 25.0-6.a.ky10
	运行在以下环境
	系统	kylinos_x86_64_V10	guava20	*		Up to (excluding) 25.0-6.ky10
	运行在以下环境
	系统	kylinos_x86_64_V10SP2	guava20	*		Up to (excluding) 25.0-6.ky10
	运行在以下环境
	系统	kylinos_x86_64_V10SP3	guava20	*		Up to (excluding) 25.0-6.ky10
	运行在以下环境
	系统	opensuse_Leap_15.4	guava	*		Up to (excluding) 32.0.1-150200.3.7.1
	运行在以下环境
	系统	opensuse_Leap_15.5	guava	*		Up to (excluding) 32.0.1-150200.3.7.1
	运行在以下环境
	系统	unionos_e	guava	*		Up to (excluding) guava20-20.0-11.uel20