ФР

ФСТЭК России

Госорганы и учреждения · 13 июля 2026 г.

Открыть канал в MAX

Уязвимость механизма обработки символических ссылок npm-библиотеки extract-zip связана ...

Уязвимость механизма обработки символических ссылок npm-библиотеки extract-zip связана с ошибками обработки ссылок. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код BDU:2026-09561 CVE-2026-56876 Коспенсирующие меры: - использование средств межсетевого экранирования для ограничения удалённого доступа к уязвимому программному обеспечению; - использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей; - использование средств резервного копирования для обеспечения возможности восстановления системы после эксплуатации уязвимости; - ограничение доступа из внешних сетей (Интернет); - ограничить или полностью запретить обработку ZIP-архивов, полученных из недоверенных и внешних источников; - перед распаковкой проверять содержимое архива и отклонять архивы, содержащие символические ссылки; - проверять абсолютный нормализованный путь каждого элемента архива и каждой символической ссылки; - убедиться, что путь находится внутри назначенного каталога распаковки; - выполнять распаковку в отдельном временном каталоге, не содержащем ранее созданных файлов и символических ссылок и не доступным для изменения непривилегированным пользователям; - запускать процесс распаковки от отдельной непривилегированной учётной записи с минимальными правами на файловую систему; - выполнять распаковку в изолированной среде; - не открывать, не копировать и не обрабатывать извлечённые файлы до завершения повторной проверки каталога.