Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] Libarchive opravuje 4 vysoko závažné zraniteľnosti
Knižnica libarchive vo verzii 3.7.5 opravuje 4 vysoko závažné zraniteľnosti [1]. Okrem toho je k dispozícii aj najnovšia verzia 3.7.7 [2].
Autentizovanému lokálnemu útočníkovi je umožnené vykonať vzdialené spustenie kódu [3][4].
Zraniteľnosť sa nachádza v produkte:
- libarchive; <3.7.5
CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2024-20696 na cve.org, NVD
- CWE-122: Heap-based Buffer Overflow na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 9. 1. 2024.
Neautentizovanému lokálnemu útočníkovi je umožnené vykonať vzdialené spustenie kódu prostredníctvom zraniteľnosti spôsobujúcej pretečenie zásobníka na halde [5][6].
Zraniteľnosť sa nachádza v produkte:
- libarchive; <3.7.5
CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2024-26256 na cve.org, NVD
- CWE-122: Heap-based Buffer Overflow na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 9. 4. 2024.
Neautentizovanému lokálnemu útočníkovi je umožnené získať neoprávnený prístup k pamäti prostredníctvom zraniteľnosti typu out-of-bounds vo funkcii execute_filter_audio v súbore archive_read_support_format_rar.c [7][8][9].
Zraniteľnosť sa nachádza v produkte:
- libarchive; <3.7.5
CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2024-48957 na cve.org, NVD
- CWE-125: Out-of-bounds Read na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 9. 10. 2024.
Neautentizovanému lokálnemu útočníkovi je umožnené získať neoprávnený prístup k pamäti prostredníctvom zraniteľnosti typu out-of-bounds vo funkcii execute_filter_delta v súbore archive_read_support_format_rar.c [10][11][12].
Zraniteľnosť sa nachádza v produkte:
- libarchive; <3.7.5
CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2024-48958 na cve.org, NVD
- CWE-125: Out-of-bounds Read na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 9. 10. 2024.
Odkazy
- [1] https://github.com/libarchive/libarchive/releases/tag/v3.7.5
- [2] https://github.com/libarchive/libarchive/releases/tag/v3.7.7
- [3] https://github.com/advisories/GHSA-g5xc-jv8h-2232
- [4] https://vuldb.com/?id.250171
- [5] https://github.com/advisories/GHSA-2jc9-36w4-pmqw
- [6] https://vuldb.com/?id.260003
- [7] https://nvd.nist.gov/vuln/detail/CVE-2024-48957
- [8] https://vuldb.com/?id.279931
- [9] https://github.com/libarchive/libarchive/pull/2149
- [10] https://nvd.nist.gov/vuln/detail/CVE-2024-48958
- [11] https://vuldb.com/?id.279932
- [12] https://github.com/libarchive/libarchive/pull/2148
Za CESNET, z.s.p.o. Michaela Ručková dňa 14. 10. 2024.