3.36.1までのGNOME file-rollerのfr-archive-libarchive.cでは、ファイルの親が意図抽出場所のディレクトリ外へのシンボリックリンクであるかどうかのチェックが実行されないため、抽出時にディレクトリトラバーサルが可能になります。

Debian 8「Jessie」では、この問題はバージョン3.14.1-1+deb8u2で修正されています。

お使いのfile-rollerパッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Debian DLA-2180-1 : file-rollerセキュリティ更新プログラム

low Nessus プラグイン ID 135723

変更ログが見つかりません