Bulletin d'alerte Debian

DSA-4227-1 plexus-archiver -- Mise à jour de sécurité

Date du rapport :
12 juin 2018
Paquets concernés :
plexus-archiver
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 900953.
Dans le dictionnaire CVE du Mitre : CVE-2018-1002200.
Plus de précisions :

Danny Grander a découvert un défaut de traversée de répertoires dans plexus-archiver, un démon d'archivage pour le système de compilation Plexus, permettant à un attaquant d'écraser n'importe quel fichier accessible en écriture à l'utilisateur réalisant l'extraction, à l'aide d'une archive Zip contrefaite pour l'occasion.

Pour la distribution oldstable (Jessie), ce problème a été corrigé dans la version 1.2-1+deb8u1.

Pour la distribution stable (Stretch), ce problème a été corrigé dans la version 2.2-1+deb9u1.

Nous vous recommandons de mettre à jour vos paquets plexus-archiver.

Pour disposer d'un état détaillé sur la sécurité de plexus-archiver, veuillez consulter sa page de suivi de sécurité à l'adresse : https://security-tracker.debian.org/tracker/plexus-archiver.