Bulletin d'alerte Debian
DSA-344-2 unzip -- Traversée de répertoire
- Date du rapport :
- 8 juillet 2003
- Paquets concernés :
- unzip
- Vulnérabilité :
- Oui
- Références dans la base de données de sécurité :
- Dans la base de données de suivi des bogues (chez SecurityFocus) : Identifiant BugTraq 7550.
Dans le dictionnaire CVE du Mitre : CVE-2003-0282. - Plus de précisions :
-
Une faille de sécurité due à une traversée de répertoire dans UnZip 5.50 permet à des attaquants de détourner les vérifications pour les chemins relatifs (../) en plaçant certains caractères invalides entre les deux caractères .. La correction qui a été mise en œuvre dans la DSA-344-1 pouvait se révéler insuffisante pour contrer tous les types d'exploitation de cette faille.
Pour la distribution stable (Woody), ce problème a été corrigé dans la version 5.50-1woody2.
Pour la distribution instable (Sid), ce problème a été corrigé dans la version 5.50-3.
Nous vous recommandons de mettre à jour votre paquet unzip.
- Corrigé dans :
-
Debian GNU/Linux 3.0 (woody)
- Source :
- http://security.debian.org/pool/updates/main/u/unzip/unzip_5.50-1woody2.dsc
- http://security.debian.org/pool/updates/main/u/unzip/unzip_5.50-1woody2.diff.gz
- http://security.debian.org/pool/updates/main/u/unzip/unzip_5.50.orig.tar.gz
- http://security.debian.org/pool/updates/main/u/unzip/unzip_5.50-1woody2.diff.gz
- Alpha:
- http://security.debian.org/pool/updates/main/u/unzip/unzip_5.50-1woody2_alpha.deb
- ARM:
- http://security.debian.org/pool/updates/main/u/unzip/unzip_5.50-1woody2_arm.deb
- Intel IA-32:
- http://security.debian.org/pool/updates/main/u/unzip/unzip_5.50-1woody2_i386.deb
- Intel IA-64:
- http://security.debian.org/pool/updates/main/u/unzip/unzip_5.50-1woody2_ia64.deb
- HPPA:
- http://security.debian.org/pool/updates/main/u/unzip/unzip_5.50-1woody2_hppa.deb
- Motorola 680x0:
- http://security.debian.org/pool/updates/main/u/unzip/unzip_5.50-1woody2_m68k.deb
- Big endian MIPS:
- http://security.debian.org/pool/updates/main/u/unzip/unzip_5.50-1woody2_mips.deb
- Little endian MIPS:
- http://security.debian.org/pool/updates/main/u/unzip/unzip_5.50-1woody2_mipsel.deb
- PowerPC:
- http://security.debian.org/pool/updates/main/u/unzip/unzip_5.50-1woody2_powerpc.deb
- IBM S/390:
- http://security.debian.org/pool/updates/main/u/unzip/unzip_5.50-1woody2_s390.deb
- Sun Sparc:
- http://security.debian.org/pool/updates/main/u/unzip/unzip_5.50-1woody2_sparc.deb
Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.
Les sommes MD5 des fichiers indiqués sont disponibles dans la nouvelle annonce de sécurité.
