CVE-2017-8283
KrytyczneStreszczenie
Program dpkg-source w wersjach od 1.3.0 do 1.18.23 umożliwia użycie nie-GNU programu patch i nie oferuje mechanizmu ochrony dla różnic z wcięciem, co pozwala zdalnym atakującym na przeprowadzenie ataków typu directory traversal za pomocą spreparowanego pakietu źródłowego Debiana.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do uzyskania dostępu do nieautoryzowanych katalogów na systemie, co może prowadzić do ujawnienia wrażliwych danych lub złośliwego oprogramowania.
Rekomendacja
Zaleca się aktualizację dpkg do najnowszej wersji, aby zniwelować ryzyko związane z tą podatnością oraz monitorowanie systemów pod kątem podejrzanych działań.
Oryginalny opis (angielski, źródło NVD)
dpkg-source in dpkg 1.3.0 through 1.18.23 is able to use a non-GNU patch program and does not offer a protection mechanism for blank-indented diff hunks, which allows remote attackers to conduct directory traversal attacks via a crafted Debian source package, as demonstrated by use of dpkg-source on NetBSD.