GLSA 200806-05: cbrPager: User-assisted execution of arbitrary code

http://security.gentoo.org/

Опасность:	средняя
Заголовок:	cbrPager: User-assisted execution of arbitrary code
Дата:	16.06.2008
Ошибки:	#223657
ID:	200806-05

Сводка

Insecure filename usage in cbrPager may allow for the remote execution of arbitrary code.

Назначение

cbrPager is a comic book pager.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
app-misc/cbrpager	< 0.9.17	>= 0.9.17	All supported architectures

Описание

Mamoru Tasaka discovered that filenames of the image archives are not properly sanitized before being passed to decompression utilities like unrar and unzip, which use the system() libc library call.

Воздействие

A remote attacker could entice a user to open an archive with a specially crafted filename, resulting in arbitrary code execution with the privileges of the user running the application.

Обход

There is no known workaround at this time.

Решение

All cbrPager users should upgrade to the latest version:

    # emerge --sync
    # emerge --ask --oneshot --verbose ">=app-misc/cbrpager-0.9.17"

Ссылки

CVE-2008-2575

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-200806-05.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.