DJL CVE-2025-0851 Absolute Path Traversal
内容提要
DeepJavaLibrary（DJL）是一个开源Java深度学习框架，存在绝对路径遍历漏洞，影响版本<=0.31.1。攻击者可利用不同操作系统的分隔符构造恶意tar包，导致提取时生成攻击者控制的绝对路径。建议升级到最新版本以修复此问题。
关键要点
-
DeepJavaLibrary（DJL）是一个开源的Java深度学习框架。
-
DJL存在绝对路径遍历漏洞，影响版本<=0.31.1。
-
攻击者可利用不同操作系统的分隔符构造恶意tar包，导致提取时生成攻击者控制的绝对路径。
-
建议用户升级到最新版本以修复此问题。
-
漏洞的复现需要在不同操作系统上创建和解压缩压缩包。
-
攻击者可以通过构造特定的tar包绕过路径检测，导致安全隐患。
-
修复补丁已发布，建议尽快更新以确保安全。
延伸解读
漏洞影响范围
DJL的绝对路径遍历漏洞影响版本0.31.1及之前的版本，用户在使用这些版本时需特别注意。攻击者可以利用该漏洞构造恶意tar包，导致系统安全风险。因此，使用DJL的开发者应尽快检查并更新到最新版本，以避免潜在的安全隐患。
跨平台风险
该漏洞的一个关键特性是其跨平台性。攻击者可以在与目标系统不同的操作系统上创建恶意tar包，从而绕过路径检测。这意味着即使开发者在本地测试时未发现问题，部署到生产环境后仍可能面临安全风险。开发者应在多种操作系统环境中进行充分测试，以确保安全性。
修复措施与建议
针对DJL的绝对路径遍历漏洞，开发团队已发布修复补丁。用户应及时升级到最新版本，以确保安全。此外，开发者在处理文件上传和解压缩时，需加强路径验证和安全检查，防止类似漏洞的再次发生。
延伸问答
DJL是什么？
DJL是一个开源的Java深度学习框架，旨在让Java开发者易于使用。
DJL的绝对路径遍历漏洞是如何产生的？
该漏洞是由于在提取tar和zip文件时未能防止绝对路径遍历，攻击者可以利用不同操作系统的分隔符构造恶意tar包。
受影响的DJL版本有哪些？
受影响的DJL版本为0.31.1及以下版本。
如何修复DJL的绝对路径遍历漏洞？
建议用户升级到最新版本以修复此漏洞。
攻击者如何利用该漏洞进行攻击？
攻击者可以构造特定的tar包，绕过路径检测，导致生成攻击者控制的绝对路径。
在不同操作系统上如何复现该漏洞？
漏洞复现需要在不同操作系统上创建和解压缩压缩包，利用不同的分隔符进行测试。
