0x01 产品简介

kkFileView 是使用 spring boot 搭建的文件文档在线预览解决方案，支持主流办公文档的在线预览。

0x02 漏洞概述

2024年4月，互联网上披露kkFileView远程代码执行漏洞情报，攻击者可利用该漏洞上传恶意文件，获取操作系统权限。该漏洞利用简单，建议受影响的客户尽快修复漏洞。

漏洞成因

在v4.2.0版本的更新中，由于前台上传功能在处理压缩包时，从仅获取文件名改为获取文件名及其目录，导致出现了Zip Slip漏洞。这使得攻击者可上传包含恶意代码的压缩包并覆盖系统文件，随后通过调用这些被覆盖的文件实现远程代码执行。

漏洞影响

这一漏洞的成功利用将会导致严重的安全后果。攻击者通过上传特制的ZIP文件，可以执行服务器上的任意代码，从而获得服务器的进一步控制权。最严重的情况下，这可能导致服务器的完全接管，敏感数据泄露，甚至将服务器转化为发起其他攻击的跳板。

0x03 影响范围

4.2.0 <= kkFileView <= 4.4.0-beta

0x04 复现环境

docker搭建kkFileView4.2.0漏洞环境

下载镜像

wget https://kkview.cn/resource/kkFileView-4.2.0-docker.tar

导入镜像并启动环境

docker load