Avis du CERT-FR
Objet : Vulnérabilité de GNU tar
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Atteinte à l'intégrité des données
Systèmes affectés
Distributions intégrant GNU tar version 1.16, 1.15.1 et probablement des versions antérieures.
Résumé
Un attaquant peut écrire ou écraser des fichiers existants à l'aide d'une archive au format tar.
Description
Un attaquant peut construire une archive tar malveillante avec un lien symbolique qui n'est pas correctement traité par les fonctions extract_archive du fichier source extract.c et extract_mangle du fichier sourcemangle.c. L'attaquant pourra écrire ou écraser des fichiers à un endroit arbitraire sur le système vulnérable, dans le contexte de l'utilisateur qui manipulera cette archive.
Un code prouvant la faisabilité de l'attaque circule sur l'Internet.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité Avaya ASA-2007-015 du 24 janvier 2007 :
http://support.avaya.com/elmodocs2/security/ASA-2007-015.htm -
Bulletin de sécurité Debian DSA-1223 du 01 décembre 2006 :
http://www.debian.org/security/2006/dsa-1223 -
Bulletin de sécurité FreeBSD SA-06:26 du 06 décembre 2006 :
http://security.freebsd.org/advisories/FreeBSD-SA-06:26.gtar.asc -
Bulletin de sécurité Gentoo GLSA-200612-10 du 11 décembre 2006 :
http://www.gentoo.org/security/en/glsa/glsa-200612-10.xml -
Bulletin de sécurité Mandriva MDKSA-2006:219 du 28 novembre 2006 :
http://www.mandriva.com/security/advisories?name=MDKSA-2006:219 -
Bulletin de sécurité Red Hat RHSA-2006:0749 du 19 décembre 2006 :
http://rhn.redhat.com/errata/RHSA-2006-0749.html -
Bulletin de sécurité Ubuntu USN-385-1 du 27 novembre 2006 :
http://www.ubuntu.com/usn/usn-385-1 -
Référence CVE CVE-2006-6097
https://www.cve.org/CVERecord?id=CVE-2006-6097
Gestion détaillée du document
| Date | Description |
|---|---|
| 29 novembre 2006 | version initiale. |
| 20 décembre 2006 | ajout des références aux bulletins de sécurité Red Hat, Gentoo, Debian, FreeBSD. |
| 25 janvier 2007 | ajout du bulletin de sécurité concernant les produits Avaya. |