FreeBSD：ark -- 抽出ディレクトリ外での抽出（38fdf07b-e8ec-11ea-8bbe-e0d55e2a8bf9）

low Nessus プラグイン ID 139934

Language:

概要

リモートのFreeBSDホストに、セキュリティ関連の更新プログラムがありません。

説明

Albert Astals Cid レポート：概要。シンボリックリンクエントリが含まれる悪意を持って細工されたTARアーカイブにより、抽出時にユーザーのホームディレクトリのどこかにファイルがインストールされます。概念実証。テスト用の悪意のあるアーカイブの例は、dirsymlink.tarにあります。影響。ユーザーは変更された.bashrcや~/.config/autostartに配置された悪意のあるスクリプトなどのファイルを意図せずにインストールできます。回避策。Ark GUIを使用してダウンロードしたアーカイブを抽出する前に、ユーザーはそれを調べて、抽出フォルダの外側を指し示すシンボリックリンクエントリが含まれていないことを確認する必要があります。

Dolphinファイルマネージャーの「Extract」コンテキストメニューを使用しないでください。ソリューションArk 20.08.1は、TARアーカイブを抽出する際に、悪意のある細工されたシンボリックリンクをスキップします。

または、8bf8c5ef07b0ac5e914d752681e470dea403a5bdを以前のリリースに適用することができます。情報提供: この問題を報告し、修正してくれたFabian Vogt氏に感謝の意を表します。