CVE-2014-3127
WysokieStreszczenie
Wersja dpkg 1.15.9 na Debianie squeeze wprowadza obsługę funkcji 'nazwa plików zakodowanych w stylu C', nie uwzględniając, że program patch w squeeze nie obsługuje tej funkcji. To prowadzi do błędu interakcji, który umożliwia zdalnym atakującym przeprowadzenie ataków typu directory traversal oraz modyfikację plików poza zamierzonymi katalogami za pomocą spreparowanego pakietu źródłowego.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do uzyskania dostępu do wrażliwych plików w systemie, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty integralności danych.
Rekomendacja
Zaleca się aktualizację dpkg do najnowszej wersji, która naprawia tę podatność oraz przegląd konfiguracji systemu w celu zminimalizowania ryzyka ataków typu directory traversal.
Inne podatności w dpkg
Zobacz wszystkie- CVE-2017-8283Krytyczne
Program dpkg-source w wersjach od 1.3.0 do 1.18.23 umożliwia użycie nie-GNU programu patch i nie oferuje mechanizmu ochrony dla różnic z wcięciem, co pozwala zdalnym atakującym na przeprowadzenie ataków typu directory traversal za pomocą spreparowanego pakietu źródłowego Debiana.
- CVE-2025-6297Wysokie
Odkryto, że dpkg-deb nieprawidłowo sprawdza uprawnienia katalogów podczas wyodrębniania pliku kontrolnego do katalogu tymczasowego, co udokumentowano jako bezpieczną operację nawet na niezaufanych danych. Może to prowadzić do pozostawienia plików tymczasowych po czyszczeniu.
Oryginalny opis (angielski, źródło NVD)
dpkg 1.15.9 on Debian squeeze introduces support for the "C-style encoded filenames" feature without recognizing that the squeeze patch program lacks this feature, which triggers an interaction error that allows remote attackers to conduct directory traversal attacks and modify files outside of the intended directories via a crafted source package. NOTE: this can be considered a release engineering problem in the effort to fix CVE-2014-0471.