- バッファオーバーフローによる無効なポインターにおける解放を防ぐため Debian からパッチを追加（#1196751、#1207180）

- シンボリックリンクのディレクトリトラバーサル用に Debian からパッチを追加（#1178824）

- //multiple/leading/slash を介したディレクトリトラバーサルを修正するために Debian からパッチを追加（#1178824）

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

複数の脆弱性が、arj アーカイバのオープンソースバージョンである arj で発見されています。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2015-0556 Jakub Wilk 氏は、arj が arj アーカイブの解凍中に作成されたシンボリックリンクに従うことを発見しました。リモートの攻撃者がこの欠陥を利用して、ユーザーまたは自動化システムが騙されて、特別に細工された arj アーカイブを処理した場合、ディレクトリトラバーサル攻撃を仕掛ける可能性があります。

- CVE-2015-0557 Jakub Wilk 氏は、先頭に複数のスラッシュがあるファイルパスを含む arj アーカイブの解凍中に、arj がディレクトリトラバーサルに対する保護を十分に行わないことを発見しました。リモートの攻撃者がこの欠陥を利用して、ユーザーまたは自動化システムが騙されて、特別に細工された arj アーカイブを処理した場合、任意のファイルへの書き込みを行う可能性があります。

- CVE-2015-2782 Jakub Wilk 氏と Guillem Jover 氏は、arj にバッファオーバーフローの脆弱性があることを発見しました。リモートの攻撃者はこの欠陥を利用して、アプリケーションをクラッシュさせたり、arj を実行しているユーザーの権限で任意のコードを実行したりする可能性があります。

リモートホストは、GLSA-201612-15（ARJ：複数の脆弱性）で説明されている脆弱性による影響を受けます。ARJで、複数の脆弱性が見つかりました。詳細については、以下に記載されているCVE識別番号を参照してください。影響：攻撃者がユーザーを誘導して、特別に細工されたARJアーカイブを使用してプロセスの権限で任意のコードが実行されたり、サービス拒否状態が引き起こされたりする可能性があります。回避策：現時点では、既知の回避策はありません。

arj で複数の脆弱性が見つかり、修正されました：

Jakub Wilk 氏は、arj が arj アーカイブの解凍中に作成されたシンボリックリンクに従うことを発見しました。ユーザーまたは自動化システムが騙されて特別に細工された arj アーカイブを処理した場合、リモートの攻撃者はこの欠陥を利用して、ディレクトリトラバーサル攻撃を仕掛ける可能性があります（CVE-2015-0556）。

Jakub Wilk 氏は、先頭に複数のスラッシュがあるファイルパスを含む arj アーカイブの解凍中に、arj がディレクトリトラバーサルに対する保護を十分に行わないことを発見しました。ユーザーまたは自動化システムが騙されて特別に細工された arj アーカイブを処理した場合、リモートの攻撃者はこの欠陥を利用して、任意のファイルへの書き込みを行う可能性があります（CVE-2015-0557）。

Jakub Wilk 氏と Guillem Jover 氏は、arj にバッファオーバーフローの脆弱性があることを発見しました。リモートの攻撃者はこの欠陥を利用して、アプリケーションをクラッシュさせたり、arj を実行しているユーザーの権限で任意のコードを実行したりする可能性があります（CVE-2015-2782）。

更新済みパッケージが、これらのセキュリティの問題に対するソリューションを提供します。

複数の脆弱性: シンボリックリンクディレクトリトラバーサル、絶対パスディレクトリトラバーサル、およびバッファオーバーフローがarjアーカイバーで発見されました。

複数の脆弱性が、arj アーカイバのオープンソースバージョンである arj で発見されています。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

CVE-2015-0556

Jakub Wilk 氏は、arj が arj アーカイブの解凍中に作成されたシンボリックリンクに従うことを発見しました。リモートの攻撃者がこの欠陥を利用して、ユーザーまたは自動化システムが騙されて、特別に細工された arj アーカイブを処理した場合、ディレクトリトラバーサル攻撃を仕掛ける可能性があります。

CVE-2015-0557

Jakub Wilk 氏は、先頭に複数のスラッシュがあるファイルパスを含む arj アーカイブの解凍中に、arj がディレクトリトラバーサルに対する保護を十分に行わないことを発見しました。リモートの攻撃者がこの欠陥を利用して、ユーザーまたは自動化システムが騙されて、特別に細工された arj アーカイブを処理した場合、任意のファイルへの書き込みを行う可能性があります。

CVE-2015-2782

Jakub Wilk 氏と Guillem Jover 氏は、arj にバッファオーバーフローの脆弱性があることを発見しました。リモートの攻撃者はこの欠陥を利用して、アプリケーションをクラッシュさせたり、arj を実行しているユーザーの権限で任意のコードを実行したりする可能性があります。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
82731	Fedora 21：arj-3.10.22-22.fc21（2015-5603）	Nessus	Fedora Local Security Checks	2015/4/13	2021/1/11	high
82595	Debian DSA-3213-1：arj - セキュリティ更新	Nessus	Debian Local Security Checks	2015/4/7	2021/1/11	high
95548	GLSA-201612-15：ARJ：複数の脆弱性	Nessus	Gentoo Local Security Checks	2016/12/6	2021/1/11	high
82736	Mandriva Linux セキュリティアドバイザリ：arj（MDVSA-2015:201）	Nessus	Mandriva Local Security Checks	2015/4/13	2021/1/14	high
103999	FreeBSD: arj -- 複数の脆弱性（b95e5674-b4d6-11e7-b895-0cc47a494882）	Nessus	FreeBSD Local Security Checks	2017/10/20	2021/1/4	high
82645	Debian DLA-188-1：arj セキュリティ更新	Nessus	Debian Local Security Checks	2015/4/9	2021/1/11	high
82752	Fedora 20：arj-3.10.22-22.fc20（2015-5546）	Nessus	Fedora Local Security Checks	2015/4/14	2021/1/11	high
82962	Fedora 22：arj-3.10.22-22.fc22（2015-5524）	Nessus	Fedora Local Security Checks	2015/4/22	2021/1/11	high

検出

プラグインの検索

high

high

high

high

high

high

high

high