Bulletin d'alerte Debian

DSA-515-1 lha -- Plusieurs failles de sécurité

Date du rapport :

5 juin 2004

Paquets concernés :

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans la base de données de suivi des bogues (chez SecurityFocus) : Identifiant BugTraq 10243.
Dans le dictionnaire CVE du Mitre : CVE-2004-0234, CVE-2004-0235.

Plus de précisions :

Deux failles de sécurité ont été découvertes dans lha :

CAN-2004-0234 Plusieurs débordements de pile dans la fonction get_header dans header.c pour LHA 1.14 permettent à des attaquants distants ou des utilisateurs locaux d'exécuter n'importe quel code via des noms de répertoire ou de fichier trop longs dans une archive LHA, ce qui déclenche le dépassement lors du test ou de l'extraction de l'archive ;
CAN-2004-0235 Plusieurs failles de sécurité par traversée de répertoire dans LHA 1.14 permettent à des attaquants distants ou à des utilisateurs locaux de créer n'importe quel fichier via une archive LHA contenant un nom de fichiers avec soit des séquences de « .. » ou soit avec des chemins absolus avec une double barre oblique (« //chemin/absolu »).

Pour la distribution stable (Woody), ces problèmes ont été corrigés dans la version 1.14i-2woody1.

Pour la distribution instable (Sid), ces problèmes ont été corrigés dans la version 1.14i-8.

Nous vous recommandons de mettre à jour votre paquet lha.

Corrigé dans :

Source :: http://security.debian.org/pool/updates/non-free/l/lha/lha_1.14i-2woody1.dsc; http://security.debian.org/pool/updates/non-free/l/lha/lha_1.14i-2woody1.diff.gz; http://security.debian.org/pool/updates/non-free/l/lha/lha_1.14i.orig.tar.gz
Alpha:: http://security.debian.org/pool/updates/non-free/l/lha/lha_1.14i-2woody1_alpha.deb
ARM:: http://security.debian.org/pool/updates/non-free/l/lha/lha_1.14i-2woody1_arm.deb
Intel IA-32:: http://security.debian.org/pool/updates/non-free/l/lha/lha_1.14i-2woody1_i386.deb
Intel IA-64:: http://security.debian.org/pool/updates/non-free/l/lha/lha_1.14i-2woody1_ia64.deb
Motorola 680x0:: http://security.debian.org/pool/updates/non-free/l/lha/lha_1.14i-2woody1_m68k.deb
PowerPC:: http://security.debian.org/pool/updates/non-free/l/lha/lha_1.14i-2woody1_powerpc.deb
IBM S/390:: http://security.debian.org/pool/updates/non-free/l/lha/lha_1.14i-2woody1_s390.deb
Sun Sparc:: http://security.debian.org/pool/updates/non-free/l/lha/lha_1.14i-2woody1_sparc.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.