Avis du CERT-FR
Objet : Vulnérabilité de lha
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Déni de service
- Exécution de code arbitraire
Systèmes affectés
lha version 1.14 et versions antérieures.
Résumé
Plusieurs vulnérabilités dans lha permettent à un utilisateur mal intentionné de créer un déni de service ou d'exécuter du code arbitraire à distance.
Description
lha est un utilitaire d'archivage et de compression pour les archives au format LHarc. Plusieurs vulnérabilités ont été découvertes :
- Une vulnérabilité de type débordement de mémoire dans le traitement des archives au format LHarc (CAN-2004-0769) ;
- plusieurs vulnérabilités de type débordement de mémoire dans l'analyse des arguments passés en ligne de commande (CAN-2004-0694 et CAN-2004-0771) ;
- une vulnérabilité de type débordement de mémoire dans l'interprétation des noms de répertoire (CAN-2004-0745).
Ces vulnérabilités permettent à un utilisateur mal intentionné, à l'aide d'une archive LHarc, d'un répertoire ou d'une ligne de commande habilement constituée, de créer un déni de service ou d'exécuter du code arbitraire à distance sur la machine victime.
Solution
Se référer à la section Documentation pour l'obtention des correctifs.
Documentation
-
Bulletin de sécurité FreeBSD pour lha du 23 septembre 2004 :
http://www.vuxml.org/freebsd -
Bulletin de sécurité Gentoo GLSA 200409-13 du 08 septembre 2004 :
http://www.gentoo.org/security/en/glsa/glsa-200409-13.xml -
Bulletin de sécurité RedHat RHSA-2004:323 du 01 septembre 2004 :
http://rhn.redhat.com/errata/RHSA-2004-323.html
Gestion détaillée du document
| Date | Description |
|---|---|
| 02 septembre 2004 | version initiale. |
| 09 septembre 2004 | ajout de la référence au bulletin de sécurité Gentoo. |
| 28 septembre 2004 | ajout de la référence au bulletin de sécurité FreeBSD. |