Bulletin d'alerte Debian
DSA-3113-1 unzip -- Mise à jour de sécurité
- Date du rapport :
- 28 décembre 2014
- Paquets concernés :
- unzip
- Vulnérabilité :
- Oui
- Références dans la base de données de sécurité :
- Dans le système de suivi des bogues Debian : Bogue 773722.
Dans le dictionnaire CVE du Mitre : CVE-2014-8139, CVE-2014-8140, CVE-2014-8141. - Plus de précisions :
-
Michele Spagnuolo de l'équipe de sécurité de Google a découvert que unzip, un utilitaire d'extraction d'archives compressées au format .zip, est affecté par des dépassements de tas dans la fonction de vérification CRC32 (CVE-2014-8139), dans la fonction test_compr_eb() (CVE-2014-8140) et dans la fonction getZip64Data() (CVE-2014-8141). Cela peut permettre l'exécution de code arbitraire.
Pour la distribution stable (Wheezy), ces problèmes ont été corrigés dans la version 6.0-8+deb7u1.
Pour la prochaine distribution stable (Jessie), ces problèmes seront corrigés prochainement.
Pour la distribution unstable (Sid), ces problèmes ont été corrigés dans la version 6.0-13.
Nous vous recommandons de mettre à jour vos paquets unzip.