安全通告

电科网安预警“kkFileView 文件上传远程代码执行漏洞”，漏洞等级高危，建议及时采取修复或缓解措施以避免受到损失。

漏洞名称：kkFileView 文件上传远程代码执行漏洞

漏洞编号：暂无

漏洞等级：高危

漏洞概要：

kkFileView 是一个开源的文件在线预览解决方案，支持多种文件格式的转换和预览，使得用户无需下载文件即可在线查看内容，包括但不限于PDF、Word、Excel、PowerPoint、文本文件和图片等。kkFileView 基于Java开发，采用Spring Boot 框架构建，可作为独立的服务部署，无需在主项目中进行复杂的编码集成，只需通过 URL 调用或配置文件共享路径即可使用。

近期监测到kkFileView 文件上传远程代码执行漏洞相关情报。由于kkFileView处理上传的压缩包时，对文件名和路径处理不当，会导致Zip Slip。即应用程序解压压缩文件时，没有正确检查包含在压缩文件中的文件路径。攻击者可以在恶意压缩文件中包含相对路径（如 ../），这些路径可以指向系统的任意位置，可能覆盖任意文件，甚至执行代码，获取服务器权限。

漏洞详情及POC已公开，已监测到在野利用。厂商暂未发布正式修复版本，仅在开发分支代码修复该漏洞。攻防实验室已复现该漏洞。

影响范围：

4.2.0 <= kkFileView <= 4.4.0-beta

安全版本：

Ø 修复代码暂未从开发分支合并到正式发布版本

Ø 需要拉取kkFileView官方仓库开发分支代码自行构建

https://github.com/kekingcn/kkFileView.git

缓解方案：

Ø 非业务必须，不要将kkFileView服务暴露到公网

Ø 关闭演示入口

Ø 通过配置文件禁用首页的文件上传功能

file.upload.disable=true

附录：

Ø kkFileView官方仓库

https://github.com/kekingcn/kkFileView