Red Hat セキュリティアドバイザリ 2011:1507 から：

2 つのセキュリティ問題を修正する更新済み libarchive パッケージが、 Red Hat Enterprise Linux 6 で現在利用できます。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

libarchive プログラミングライブラリは、GNU tar および cpio を含むいくつかの異なるストリーミングアーカイブフォーマットを作成して読み取ることができます。また ISO 9660 CD-ROM イメージの読み取りも可能です。

libarchive で 2 つのヒープベースのバッファオーバーフローの欠陥が見つかりました。ユーザーが騙されて、特別に細工された ISO 9660 CD-ROM イメージまたは tar アーカイブを libarchive を使用するアプリケーションで展開すると、当アプリケーションがクラッシュするか、アプリケーションを実行しているユーザーの権限で任意のコードが実行される可能性があります。
（CVE-2011-1777、 CVE-2011-1778）

Subversion の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正する必要があります。更新を有効にするには、libarchive を使用する実行中の全アプリケーションを再起動する必要があります。

リモートホストは、GLSA-201406-02 で説明されている脆弱性の影響を受けます（libarchive：複数の脆弱性）

libarchive で複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

リモートの攻撃者がユーザーまたは自動化プロセスを誘導して、特別に細工されたアーカイブを libarchive にリンクされたアプリケーションで開かせることで、プロセスの権限で任意のコードを実行したり、サービス拒否状態を引き起こしたりする可能性があります。
 回避策：

現時点で、既知の回避策はありません。

様々な形式の読み取りおよび書き込みアーカイブに対して柔軟なインターフェイスを提供するライブラリの libarchive に、2 つのバッファオーバーフローが発見されました。ISO 9660 あるいは tar ストリームを読み取り中の潜在的なバッファオーバーフローにより、リモートの攻撃者が当機能を使用するアプリケーションによって任意のコードを実行する可能性があります。

リモートホストは、セキュリティ更新 2012-002 を適用していないバージョンの Mac OS X 10.6 を実行しています。この更新には、次のコンポーネントに対する複数のセキュリティ関連の修正が含まれています。

- curl
 - Directory Service
 - ImageIO
 - libarchive
 - libsecurity
 - libxml
 - Quartz Composer
 - QuickTime
 - Ruby
 - Samba
 - Security Framework

2 つのセキュリティ問題を修正する更新済み libarchive パッケージが、 Red Hat Enterprise Linux 6 で現在利用できます。

Red Hatセキュリティレスポンスチームは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供するCommon Vulnerability Scoring System（CVSS）のベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに確認できます。

libarchive プログラミングライブラリは、GNU tar および cpio を含むいくつかの異なるストリーミングアーカイブフォーマットを作成して読み取ることができます。また ISO 9660 CD-ROM イメージの読み取りも可能です。

libarchive で 2 つのヒープベースのバッファオーバーフローの欠陥が見つかりました。ユーザーが騙されて、特別に細工された ISO 9660 CD-ROM イメージまたは tar アーカイブを libarchive を使用するアプリケーションで展開すると、当アプリケーションがクラッシュするか、アプリケーションを実行しているユーザーの権限で任意のコードが実行される可能性があります。
（CVE-2011-1777、CVE-2011-1778）

Subversion の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正する必要があります。更新を有効にするには、libarchive を使用する実行中の全アプリケーションを再起動する必要があります。

libarchive で 2 つのヒープベースのバッファオーバーフローの欠陥が見つかりました。ユーザーが騙されて、特別に細工された ISO 9660 CD-ROM イメージまたは tar アーカイブを libarchive を使用するアプリケーションで展開すると、当アプリケーションがクラッシュするか、アプリケーションを実行しているユーザーの権限で任意のコードが実行される可能性があります（CVE-2011-1777、CVE-2011-1778）。

更新パッケージには、これらの問題を修正するため、パッチが適用されています。

libarchive が特定の ISO 9660 イメージファイルを不適切に処理することが判明しました。ユーザーが騙されて、特別に細工されたISO 9660ファイルを使用すると、リモートの攻撃者は、libarchiveをクラッシュすることや、ユーザー権限で任意のコードを実行する可能性があります。（CVE-2011-1777）

libarchive が特定の tar アーカイブファイルを不適切に処理することが判明しました。ユーザーが騙されて、特別に細工されたtarファイルを使用すると、リモートの攻撃者は、libarchiveをクラッシュすることや、ユーザー権限で任意のコードを実行する可能性があります。（CVE-2011-1778）

注意: Tenable Network Securityは、前述の説明ブロックをUbuntuセキュリティアドバイザリからすでに直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

リモートホストが、バージョン 10.7.4 より前の Mac OS X 10.7.x を実行しています。新しいバージョンには、次のコンポーネントに対する、複数のセキュリティ関連の修正が含まれています：

- Login Window
 - Bluetooth
 - curl
 - HFS
 - Kernel
 - libarchive
 - libsecurity
 - libxml
 - LoginUIFramework
 - PHP
 - Quartz Composer
 - QuickTime
 - Ruby
 - Security Framework
 - Time Machine
 - X11

注意：この更新は、最近の FileVault パスワードの脆弱性に対処します。FileVault のレガシーバージョンが Lion へのシステムアップグレード後にユーザーディレクトリを暗号化するために使用されると、ユーザーパスワードがシステムワイドのデバッグログに対して平文で保存されます。パッチがさらなる漏洩を制限するだけのものであるため、OS X 10.7 へのアップグレードの前後の FireVault のレガシーバージョンを使用して、ユーザーフォルダーが暗号化されている場合、システムの全ユーザーがパスワードを変更することが推奨されます。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
68396	Oracle Linux 6：libarchive（ELSA-2011-1507）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
74259	GLSA-201406-02：libarchive：複数の脆弱性	Nessus	Gentoo Local Security Checks	2014/6/2	2021/1/6	high
58043	Debian DSA-2413-1：libarchive - バッファオーバーフロー	Nessus	Debian Local Security Checks	2012/2/21	2021/1/11	medium
59067	Mac OS X 複数の脆弱性（セキュリティ更新 2012-002）（BEAST）	Nessus	MacOS X Local Security Checks	2012/5/10	2022/12/5	critical
56990	RHEL 6：libarchive（RHSA-2011: 1507）	Nessus	Red Hat Local Security Checks	2011/12/2	2021/1/14	medium
57332	Mandriva Linux セキュリティアドバイザリ：libarchive（MDVSA-2011: 190）	Nessus	Mandriva Local Security Checks	2011/12/19	2021/1/6	medium
57341	Ubuntu 10.04 LTS/10.10 LTS/11.04 LTS/11.10：libarchiveの脆弱性（USN-1310-1）	Nessus	Ubuntu Local Security Checks	2011/12/20	2019/9/19	medium
59066	Mac OS X 10.7.x < 10.7.4 複数の脆弱性（BEAST）	Nessus	MacOS X Local Security Checks	2012/5/10	2022/12/5	critical

検出

プラグインの検索

medium

high

medium

critical

medium

medium

medium

critical