search

arkivverket / arkade5

Arkade 5 - testverktøy for arkivuttrekk
http://arkade.arkivverket.no
GNU Affero General Public License v3.0
12 stars 17 forks source link

Varsel om sårbarhet oppdaget i Arkade 5 #168

Closed joergen-vs closed 1 year ago

joergen-vs commented 1 year ago

Det er oppdaget en sårbarhet i Arkade 5, versjoner f.o.m. 2.5.0 (utgitt 04.11.2021) t.o.m. 2.10.0 (utgitt 16.05.2023).

Ved innlasting av arkivuttrekk med arkivtype Siard (Siard-uttrekk) vil Arkade 5-versjoner som er berørt av sårbarheten, rekursivt kopiere alle filer og kataloger som ligger i samme katalog som uttrekksfilen (.siard-filen) til sitt temporære arbeidsområde. Dersom det opprettes en informasjonspakke (SIP/AIP) fra uttrekket, vil alle filene/katalogene i temporærområdet bli inkludert, selv om de ikke nødvendigvis tilhører Siard-uttrekket som pakkes.

Pakking av Siard-uttrekk kan gjøres trygt inntil utbedret Arkade-versjon utgis ved at uttrekksfilen (.siard) som skal prosesseres, ligger separat i en egen katalog evt. kun sammen med innhold som tilhører det aktuelle Siard-uttrekket (filer som det refereres til i uttrekksfilen).

Se mer detaljer i vedlegget. Sårbarhet_Arkade5_v2.5-v2.10.pdf

joergen-vs commented 1 year ago

Vi jobber med å utbedre sårbarheten og kommer tilbake med mer informasjon når det er klart.

Swoy commented 1 year ago

Jeg antar dette kun gjelder når du velger "Velg fil"?

joergen-vs commented 1 year ago

Jeg antar dette kun gjelder når du velger "Velg fil"?

Det stemmer.

joergen-vs commented 1 year ago

Løst i hotfix 2.10.1, https://github.com/arkivverket/arkade5/releases/tag/v2.10.1