CVE-2017-8283
KrytyczneStreszczenie
Program dpkg-source w wersjach od 1.3.0 do 1.18.23 umożliwia użycie nie-GNU programu patch i nie oferuje mechanizmu ochrony dla różnic z wcięciem, co pozwala zdalnym atakującym na przeprowadzenie ataków typu directory traversal za pomocą spreparowanego pakietu źródłowego Debiana.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do uzyskania dostępu do nieautoryzowanych katalogów na systemie, co może prowadzić do ujawnienia wrażliwych danych lub złośliwego oprogramowania.
Rekomendacja
Zaleca się aktualizację dpkg do najnowszej wersji, aby zniwelować ryzyko związane z tą podatnością oraz monitorowanie systemów pod kątem podejrzanych działań.
Inne podatności w dpkg
Zobacz wszystkie- CVE-2014-3127Wysokie
Wersja dpkg 1.15.9 na Debianie squeeze wprowadza obsługę funkcji 'nazwa plików zakodowanych w stylu C', nie uwzględniając, że program patch w squeeze nie obsługuje tej funkcji. To prowadzi do błędu interakcji, który umożliwia zdalnym atakującym przeprowadzenie ataków typu directory traversal oraz modyfikację plików poza zamierzonymi katalogami za pomocą spreparowanego pakietu źródłowego.
- CVE-2025-6297Wysokie
Odkryto, że dpkg-deb nieprawidłowo sprawdza uprawnienia katalogów podczas wyodrębniania pliku kontrolnego do katalogu tymczasowego, co udokumentowano jako bezpieczną operację nawet na niezaufanych danych. Może to prowadzić do pozostawienia plików tymczasowych po czyszczeniu.
Oryginalny opis (angielski, źródło NVD)
dpkg-source in dpkg 1.3.0 through 1.18.23 is able to use a non-GNU patch program and does not offer a protection mechanism for blank-indented diff hunks, which allows remote attackers to conduct directory traversal attacks via a crafted Debian source package, as demonstrated by use of dpkg-source on NetBSD.