Bulletin d'alerte Debian

DLA-1623-1 tar -- Mise à jour de sécurité pour LTS

Date du rapport :

31 décembre 2018

Paquets concernés :

tar

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2018-20482.

Plus de précisions :

Il existait une vulnérabilité potentielle de déni de service dans tar, la version GNU de l’utilitaire tar d’archivage d’UNIX.

L’argument --sparse créait une boucle sans fin si le fichier diminuait pendant qu’il était lu. Tar ne brisait cette boucle infinie que si le fichier grossissait à nouveau jusqu’à sa fin de fichier originale (ou plus loin).

Pour Debian 8 Jessie, ce problème a été corrigé dans la version 1.27.1-2+deb8u2 de tar.

Nous vous recommandons de mettre à jour vos paquets tar.