Avis du CERT-FR
Objet : Vulnérabilité de la bibliothèque ZZIPlib
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Contournement de la politique de sécurité
- Exécution de code arbitraire à distance
Systèmes affectés
Les versions de la bibliothèque ZZIPlib antérieures à la 0.13.49.
Description
Une vulnérabilité a été identifiée dans la bilbiothèque ZZIPlib. Cette dernière fournit un accès en lecture pour les archives de type ZIP. Une erreur dans la fonction zzip_open_shared_io qui est mise en œuvre dans le fichier zzip/file.c permettrait à une personne malveillante de perturber le système vulnérable, voire exécuter des commandes arbitraires. De manière plus précise, un appel à la fonction strcpy ne serait pas correctement contrôlé, et la manipulation d'un nom de fichier trop long pourrait ainsi provoquer un débordement de tampon.
Solution
Se référer au bulletin de mise à jour du projet pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Notes de modifications pour la version 0.13.49 du 17 mars 2007 :
http://sourceforge.net/project/shownotes.php?group_id=6389&release_id=494587 -
Page du projet ZZIPlib :
http://sourceforge.net/projects/zziplib/ -
Référence CVE CVE-2007-1614
https://www.cve.org/CVERecord?id=CVE-2007-1614
Gestion détaillée du document
| Date | Description |
|---|---|
| 27 mars 2007 | version initiale. |