Debian DSA-3213-1：arj - セキュリティ更新

high Nessus プラグイン ID 82595

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

複数の脆弱性が、arj アーカイバのオープンソースバージョンである arj で発見されています。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2015-0556 Jakub Wilk 氏は、arj が arj アーカイブの解凍中に作成されたシンボリックリンクに従うことを発見しました。リモートの攻撃者がこの欠陥を利用して、ユーザーまたは自動化システムが騙されて、特別に細工された arj アーカイブを処理した場合、ディレクトリトラバーサル攻撃を仕掛ける可能性があります。

- CVE-2015-0557 Jakub Wilk 氏は、先頭に複数のスラッシュがあるファイルパスを含む arj アーカイブの解凍中に、arj がディレクトリトラバーサルに対する保護を十分に行わないことを発見しました。リモートの攻撃者がこの欠陥を利用して、ユーザーまたは自動化システムが騙されて、特別に細工された arj アーカイブを処理した場合、任意のファイルへの書き込みを行う可能性があります。

- CVE-2015-2782 Jakub Wilk 氏と Guillem Jover 氏は、arj にバッファオーバーフローの脆弱性があることを発見しました。リモートの攻撃者はこの欠陥を利用して、アプリケーションをクラッシュさせたり、arj を実行しているユーザーの権限で任意のコードを実行したりする可能性があります。

ソリューション

arj パッケージをアップグレードしてください。

安定版（stable）ディストリビューション（wheezy）に対して、これらの問題はバージョン 3.10.22-10+deb7u1 で修正されています。

将来の安定版（stable）ディストリビューション（jessie）では、これらの問題はバージョン 3.10.22-13 で修正されています。