Vulnerabilidad en KNIME Analytics Platform (CVE-2022-44749)

Una vulnerabilidad de Directory Traversal en las rutinas de extracción de archivos ZIP de KNIME Analytics Platform 3.2.0 y superiores puede provocar que se sobrescriban archivos arbitrarios en el sistema del usuario. Esta vulnerabilidad también se conoce como 'Zip-slip'. Un atacante puede crear un flujo de trabajo KNIME que, cuando lo abre un usuario, puede sobrescribir archivos arbitrarios a los que el usuario tiene acceso de escritura. No es necesario ejecutar el flujo de trabajo, basta con abrir el flujo de trabajo. El usuario notará que algo anda mal porque se informa de un error, pero sólo después de que los archivos ya se hayan escrito. Esto puede afectar la integridad de los datos (se modifica el contenido de los archivos) o causar errores en otro software (se dañan archivos vitales). Incluso puede conducir a la ejecución remota de código si el usuario reemplaza los archivos ejecutables y posteriormente los ejecuta. En todos los casos, el atacante debe conocer la ubicación de los archivos en el sistema del usuario.