GLSA 200411-16: zip: Path name buffer overflow

http://security.gentoo.org/

Опасность:	средняя
Заголовок:	zip: Path name buffer overflow
Дата:	09.11.2004
Ошибки:	#70227
ID:	200411-16

Сводка

zip contains a buffer overflow when creating a ZIP archive of files with very long path names. This could lead to the execution of arbitrary code.

Назначение

zip is a compression and file packaging utility.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
app-arch/zip	<= 2.3-r3	>= 2.3-r4	All supported architectures

Описание

zip does not check the resulting path length when doing recursive folder compression.

Воздействие

An attacker could exploit this by enticing another user or web application to create an archive including a specially-crafted path name, potentially resulting in the execution of arbitrary code with the permissions of the user running zip.

Обход

There is no known workaround at this time.

Решение

All zip users should upgrade to the latest version:

    # emerge --sync
    # emerge --ask --oneshot --verbose ">=app-arch/zip-2.3-r4"

Ссылки

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-200411-16.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.