S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 20 août 2003
N° CERTA-2003-AVI-138
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilité de la commande UnZip

Gestion du document

Référence CERTA-2003-AVI-138
Titre Vulnérabilité de la commande UnZip
Date de la première version20 août 2003
Date de la dernière version20 août 2003
Source(s) Bulletin de sécurité DSA-344 de Debian
Bulletin de sécurité MDKSA-2003:071 de Mandrake
Bulletin de sécurité RHSA-2003:199 de RedHat
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Atteinte à l'intégrité du système

Systèmes affectés

Tous les systèmes possédant la version 5.50 (ou antérieure) de UnZip.

Description

Lors de l'extraction des fichiers contenus dans une archive au format .zip, le chemin des fichiers n'est pas correctement validé.

Il est alors possible, pour un utilisateur mal intentionné, de constituer une archive contenant des fichiers qui seront extraits dans un répertoire parent du répertoire d'extraction initial (présence de la séquence "../" dans le chemin d'accès).

Solution

Appliquer le correctif de l'éditeur :

  • Bulletin de sécurité DSA-344 de Debian :

    http://www.debian.org/security/2003/dsa-344

  • Bulletin de sécurité MDKSA-2003:073 de Mandrake :

    http://www.mandrakesecure.net/en/advisories/advisory.php?name=MDKSA-2003:073

  • Bulletin de sécurité RHSA-2003:199 de Red Hat :

    http://rhn.redhat.com/errata/RHSA-2003-199.html

Documentation

Gestion détaillée du document

    le 20 août 2003
    version initiale.