Zip Bomb
Küçük bir sıkıştırılmış girdiden aşırı CPU, bellek, disk veya recursive extraction işi üreterek ayrıştırıcıyı kaynak tüketimine zorlayan arşiv saldırısı.
Zip bomb savunmasını dosyanın sıkıştırılmış boyutuna bakarak kurmak yeterli değildir. Nested archive klasik yöntemdir; overlapping entry gibi teknikler recursive katman olmadan da çok yüksek expansion ratio üretebilir.
Güvenli Açma Politikası
Upload/AV pipeline'ında limitler extraction başlamadan tanımlanmalıdır:
- toplam açılmış byte
- tek entry boyutu
- entry sayısı
- nesting depth
- CPU/zaman bütçesi
- compression ratio
- symbolic link/path traversal politikası
Limit yalnız disk free space'e bırakılırsa aynı worker'ın CPU ve memory tüketimi diğer işlerin latency'sini bozabilir.
Kaynak
- https://www.bamsoftware.com/hacks/zipbomb/