CVE-2026-102282

सारांश

adm-zip, Node.js में ZIP आर्काइव बनाने और निकालने के लिए एक JavaScript लाइब्रेरी है। 0.6.1 से पहले, जब `extractAllTo()`/`extractEntryTo()` में `keepOriginalPermission=true` पास किया जाता है, तो adm-zip zip एंट्री में संग्रहीत Unix permission bits को `fs.chmodSync()` के माध्यम से सीधे निकाली गई फ़ाइल पर लागू कर देता है — और यह उन bits में से setuid/setgid/sticky bits को कभी फ़िल्टर नहीं करता। इसलिए हमलावर द्वारा तैयार किया गया zip, mode `04755` वाली निकाली गई बाइनरी उत्पन्न कर सकता है। जब extraction root के रूप में चलता है (Docker builds, CI runners, और privileged install steps में डिफ़ॉल्ट स्थिति — ठीक वही वातावरण जहाँ यह flag उपयोग किया जाता है), तो परिणामी root-owned setuid फ़ाइल को बाद में कम विशेषाधिकार वाला उपयोगकर्ता निष्पादित करता है, जिससे हमलावर का कोड root execution में बदल जाता है। Version 0.6.1 इस समस्या को ठीक करता है।

स्रोत

• POC-CVE-2026-102282PoC

  CVE-2026-102282: आर्काइव निष्कर्षण के दौरान SUID/SGID संरक्षण के माध्यम से adm-zip LPE (0.6.1 में ठीक किया गया)

• adm-zip_LPE-PoCPoC

  CVE-2026-102282: आर्काइव निष्कर्षण के दौरान SUID/SGID संरक्षण के माध्यम से स्थानीय विशेषाधिकार वृद्धि