原文

Apache IvyのPackagerResolverは、オンラインのアーティファクトをダウンロードし、packager.xmlファイルで定義された形式でそれらを（再）パッケージ化することができます。この再パッケージ化はAntスクリプトによって行われ、設定された「buildRoot」ディレクトリのサブディレクトリに保存されます。このサブディレクトリは、組織名、名前、バージョンなどのモジュール座標に基づいて計算されます。もし座標のいずれかに「../」のシーケンスが含まれている場合（これは一般的にIvyの座標で有効な文字です）、設定された「buildRoot」ディレクトリから抜け出して他のファイルを上書きできてしまいます。この脆弱性を悪用するためには、攻撃者がパッケージャリポジトリにアクセスし、ivy.xmlファイルの座標に「../」のシーケンスを含むように追加または変更する必要があります。Apache Ivyのバージョン2.0.0から2.5.3（含む）を使用しているユーザーは、Ivy 2.6.0にアップグレードすることを推奨します。