Bulletin d'alerte Debian

DLA-1440-1 libarchive-zip-perl -- Mise à jour de sécurité pour LTS

Date du rapport :

24 juillet 2018

Paquets concernés :

libarchive-zip-perl

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le système de suivi des bogues Debian : Bogue 902882.
Dans le dictionnaire CVE du Mitre : CVE-2018-10860.

Plus de précisions :

Le paquet libarchive-zip-perl est vulnérable à une attaque de traversée de répertoires dans Archive::Zip. Il a été découvert que le module Archive::Zip ne vérifiait pas correctement les chemins lors de l’extraction de fichiers zip. Un attaquant capable de fournir une archive contrefaite pour l'occasion à traiter pourrait utiliser ce défaut pour écrire ou surcharger des fichiers arbitraires dans le contexte de l’interpréteur Perl.

Pour Debian 8 Jessie, ce problème a été corrigé dans la version 1.39-1+deb8u1.

Nous vous recommandons de mettre à jour vos paquets libarchive-zip-perl.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.