Podatności dpkg

Wersja dpkg 1.15.9 na Debianie squeeze wprowadza obsługę funkcji 'nazwa plików zakodowanych w stylu C', nie uwzględniając, że program patch w squeeze nie obsługuje tej funkcji. To prowadzi do błędu interakcji, który umożliwia zdalnym atakującym przeprowadzenie ataków typu directory traversal oraz modyfikację plików poza zamierzonymi katalogami za pomocą spreparowanego pakietu źródłowego.

Program dpkg-source w wersjach od 1.3.0 do 1.18.23 umożliwia użycie nie-GNU programu patch i nie oferuje mechanizmu ochrony dla różnic z wcięciem, co pozwala zdalnym atakującym na przeprowadzenie ataków typu directory traversal za pomocą spreparowanego pakietu źródłowego Debiana.

Odkryto, że dpkg-deb nieprawidłowo sprawdza uprawnienia katalogów podczas wyodrębniania pliku kontrolnego do katalogu tymczasowego, co udokumentowano jako bezpieczną operację nawet na niezaufanych danych. Może to prowadzić do pozostawienia plików tymczasowych po czyszczeniu.