CVE-2013-4397（特別に細工されたアーカイブを展開することにより生じるバッファオーバーフロー）を修正

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

更新済み libtar パッケージにより、以下のセキュリティ脆弱性が修正されます：

2 つのヒープベースのバッファオーバーフローの欠陥が、 libtar がある特定のアーカイブを処理する方法で見つかりました。ユーザーが騙されて、特別に細工されたアーカイブを展開する場合、libtar 実行可能ファイルまたは libtar を使用するアプリケーションがクラッシュしたり、任意のコードが実行されたりする可能性があります（CVE-2013-4397）。

Timo Warns 氏は、tar アーカイブを操作するライブラリである libtar に存在する複数の整数オーバーフローの脆弱性を報告しました。これにより、任意のコードが実行される可能性があります。

2 つのヒープベースのバッファオーバーフローの欠陥が、 libtar がある特定のアーカイブを処理する方法で見つかりました。ユーザーが騙されて、特別に細工されたアーカイブを展開する場合、libtar 実行可能ファイルまたは libtar を使用するアプリケーションがクラッシュしたり、任意のコードが実行されたりする可能性があります。(CVE-2013-4397)

注：この問題の影響を受けるのは、libtar の 32 ビットのビルドのみです。

1 つのセキュリティの問題を修正する更新済みの libtar パッケージが、 Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

libtar パッケージには、tar アーカイブを操作するための C ライブラリがあります。
このライブラリは、厳格な POSIX tar フォーマットと一般的に使用される GNU 拡張の両方をサポートします。

2 つのヒープベースのバッファオーバーフローの欠陥が、 libtar がある特定のアーカイブを処理する方法で見つかりました。ユーザーが騙されて、特別に細工されたアーカイブを展開する場合、 libtar 実行ファイルまたは libtar を使用するアプリケーションがクラッシュしたり、任意のコードが実行されたりする可能性があります。(CVE-2013-4397)

注：この問題の影響を受けるのは、libtar の 32 ビットのビルドのみです。

Red Hat は、この問題を報告してくれた Timo Warns 氏に感謝の意を表します。

libtar の全ユーザーは、バックポートされたパッチが含まれるこの更新済みパッケージへアップグレードし、この問題を修正することが推奨されます。

リモートホストが、GLSA-201402-19 で説明されている脆弱性の影響を受けます（libtar：任意のコードの実行）

長い名前またはリンク拡張の処理時に発生する「th_read()」関数内の整数オーバーフローエラーが悪用可能であり、特別に細工されたアーカイブを介して、ヒープベースのバッファオーバーフローが引き起こされる可能性があります。
 影響：

リモートの攻撃者がユーザーを誘導して、libtar にリンクされたプログラムを使用している特別に細工されたファイルを開かせることで、プロセスの権限により任意のコードを実行したり、サービス拒否状態を引き起こしたりする可能性があります。
 回避策：

現時点で、既知の回避策はありません。

Red Hat セキュリティアドバイザリ 2013:1418 から：

1 つのセキュリティの問題を修正する更新済みの libtar パッケージが、 Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

libtar パッケージには、tar アーカイブを操作するための C ライブラリがあります。
このライブラリは、厳格な POSIX tar フォーマットと一般的に使用される GNU 拡張の両方をサポートします。

2 つのヒープベースのバッファオーバーフローの欠陥が、 libtar がある特定のアーカイブを処理する方法で見つかりました。ユーザーが騙されて、特別に細工されたアーカイブを展開する場合、 libtar 実行ファイルまたは libtar を使用するアプリケーションがクラッシュしたり、任意のコードが実行されたりする可能性があります。(CVE-2013-4397)

注：この問題の影響を受けるのは、libtar の 32 ビットのビルドのみです。

Red Hat は、この問題を報告してくれた Timo Warns 氏に感謝の意を表します。

libtar の全ユーザーは、バックポートされたパッチが含まれるこの更新済みパッケージへアップグレードし、この問題を修正することが推奨されます。

- 1.2.20 より前の libtar の lib/block.c における th_read 関数の複数の整数オーバーフローのために、アーカイブの長い（1）名前または（2）リンクを介して、リモートの攻撃者がサービス拒否（クラッシュ）を引き起こしたり、任意のコードの実行したりする可能性があります。これにより、ヒープベースのバッファオーバーフローが発生します。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
70511	Fedora 18：libtar-1.2.11-25.fc18（2013-18785）	Nessus	Fedora Local Security Checks	2013/10/20	2021/1/11	medium
70520	Mandriva Linux セキュリティアドバイザリ：libtar（MDVSA-2013:253）	Nessus	Mandriva Local Security Checks	2013/10/20	2021/1/6	medium
70816	Fedora 20：libtar-1.2.11-27.fc20（2013-18877）	Nessus	Fedora Local Security Checks	2013/11/11	2021/1/11	medium
71442	Debian DSA-2817-1：libtar - 整数オーバーフロー	Nessus	Debian Local Security Checks	2013/12/16	2021/1/11	medium
70394	Scientific Linux セキュリティ更新：SL6.x i386/x86_64 の libtar	Nessus	Scientific Linux Local Security Checks	2013/10/11	2021/1/14	medium
70400	CentOS 6：libtar（CESA-2013:1418）	Nessus	CentOS Local Security Checks	2013/10/13	2021/1/4	medium
72633	GLSA-201402-19：libtar：任意のコードの実行	Nessus	Gentoo Local Security Checks	2014/2/23	2021/1/6	medium
70386	Oracle Linux 6：libtar（ELSA-2013-1418）	Nessus	Oracle Linux Local Security Checks	2013/10/11	2021/1/14	medium
70387	RHEL 6：libtar（RHSA-2013:1418）	Nessus	Red Hat Local Security Checks	2013/10/11	2021/1/14	medium
70529	Fedora 19：libtar-1.2.11-26.fc19（2013-18808）	Nessus	Fedora Local Security Checks	2013/10/21	2021/1/11	medium
88582	F5 Networks BIG-IP：libtar の脆弱性（SOL16015326）	Nessus	F5 Networks Local Security Checks	2016/2/5	2021/3/10	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium