Zwei Verwundbarkeiten wurden in cpio entdeckt, einem Programm
zur Verwaltung von Dateiarchiven. Das Common Vulnerabilities and
Exposures project
identifiziert die folgenden Probleme:
Imran Ghory entdeckte eine Race-Condition beim Setzen der Dateirechte von Dateien, die aus cpio-Archiven entpackt werden. Ein lokaler Angreifer mit Schreibzugriff auf das Zielverzeichnis kann dies ausnutzen, um die Rechte von beliebigen Dateien zu ändern, für die der Benutzer Schreibrechte hat, der die Dateien entpackt.
Imran Ghory entdeckte, dass cpio den Pfad von entpackten Dateien nicht entschärft, selbst dann nicht, wenn die Option --no-absolute-filenames angegeben wird. Dies kann ausgenutzt werden, um Dateien an beliebigen Orten zu installieren, für die der entpackende Benutzer Schreibrechte besitzt.
Für die alte Stable-Distribution (Woody) wurden diese Probleme in Version 2.4.2-39woody2 behoben.
Für die Stable-Distribution (Sarge) wurden diese Probleme in Version 2.5-1.3 behoben.
Für die Unstable-Distribution (Sid) wurden diese Probleme in Version 2.6-6 behoben.
Wir empfehlen Ihnen, Ihr cpio-Paket zu aktualisieren.
MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.