如何解决Cordova iOS应用的Zipperdown漏洞问题？

Zipperdown漏洞本质是Cordova生态中部分文件处理插件（如cordova-plugin-file）存在路径遍历缺陷，恶意zip文件可通过构造特殊路径写入应用沙盒外的文件，进而触发远程代码执行。以下是具体修复步骤：

1. 升级核心依赖至安全版本 #

• 升级Cordova iOS平台到最新稳定版：

  cordova platform update ios@latest
  

• 升级cordova-plugin-file插件到v6.0.0及以上版本（该版本已修复路径遍历问题）：

  cordova plugin update cordova-plugin-file
  

• 若使用了cordova-plugin-zip等第三方解压插件，同步升级到对应修复版本，或替换为官方维护的安全实现。

2. 手动校验解压路径的合法性 #

即使依赖已升级，仍需在业务代码中添加路径校验逻辑，确保解压后的文件严格限制在应用沙盒允许的目录内（如cordova.file.dataDirectory）：

const path = require('path');
// 示例：使用zip.js处理解压时的路径校验
async function safeUnzip(zipFile) {
  const zip = new Zip();
  await zip.loadAsync(zipFile);
  for (const entry of zip) {
    const targetPath = path.join(cordova.file.dataDirectory, entry.filename);
    // 验证目标路径是否为允许目录的子路径
    if (!targetPath.startsWith(cordova.file.dataDirectory)) {
      throw new Error(`非法文件路径：${entry.filename}`);
    }
    // 执行合法解压操作
    await entry.extractAsync(targetPath);
  }
}

3. 强化应用沙盒权限 #

• 在Xcode中开启应用沙盒（Sandbox）功能，限制文件访问范围；
• 检查Info.plist配置，禁用不必要的文件访问权限（如LSSupportsOpeningDocumentsInPlace若无需则关闭）。

4. 静态扫描与漏洞验证 #

• 使用Xcode静态分析工具（Product > Analyze）扫描代码中的路径遍历风险；
• 构造包含路径遍历 payload 的恶意zip文件，测试应用是否能拦截非法解压操作。

5. 重新打包发布 #

修复完成后重新打包应用，提交至App Store推送生产版本更新，确保所有用户都能获取安全版本。

内容的提问来源于stack exchange，提问作者sukumaran