Bulletin d'alerte Debian

DLA-3202-1 libarchive -- Mise à jour de sécurité pour LTS

Date du rapport :
22 novembre 2022
Paquets concernés :
libarchive
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 945287, Bogue 1001986, Bogue 1001990.
Dans le dictionnaire CVE du Mitre : CVE-2019-19221, CVE-2021-23177, CVE-2021-31566.
Plus de précisions :

Trois problèmes ont été découverts dans libarchive, une bibliothèque d’archive multiformat et de compression.

  • CVE-2019-19221

    Lecture hors limites due à un appel incorrect à mbrtowc ou mbtowc.

  • CVE-2021-23177

    Extraction de lien symbolique avec ACL modifiant l’ACL de la cible.

  • CVE-2021-31566

    Lien symbolique incorrectement suivi lors du changement de modes, de datages, d’ACL et de drapeaux d’un fichier lors de l’extraction d’une archive.

Pour Debian 10 « Buster », ces problèmes ont été corrigés dans la version 3.3.3-4+deb10u2.

Nous vous recommandons de mettre à jour vos paquets libarchive.

Pour disposer d'un état détaillé sur la sécurité de libarchive, veuillez consulter sa page de suivi de sécurité à l'adresse : https://security-tracker.debian.org/tracker/libarchive.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.