PT-2020-15381 · Github · Libarchive

Sanjevk001 · Publicado 2020-10-15 · Atualizado 2020-10-26 · CVE-2020-21674

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

libarchive versão 3.4.1dev

Descrição

Existe uma vulnerabilidade de estouro de buffer baseada na pilha (heap), permitindo que invasores remotos provoquem uma negação de serviço por meio de um arquivo compactado malicioso. Essa vulnerabilidade afeta usuários que baixaram o código de desenvolvimento do GitHub, enquanto os usuários das versões oficiais do produto não são afetados.

Recomendações

Para a versão 3.4.1dev do libarchive, considere evitar o uso de arquivos compactados criados especificamente para esse fim até que um patch esteja disponível. Como solução temporária, restrinja o uso da função archive string append from wcs() em archive string.c para minimizar o risco de exploração.

Correção

Memory Corruption

Enumeração de Fraquezas

CWE-787

Identificadores relacionados

CVE-2020-21674

Produtos afetados

Libarchive

Referências · 4

• https://github.com/libarchive/libarchive/issues/1298 · Nota
• https://github.com/libarchive/libarchive/commit/4f085eea879e2be745f4d9bf57e8513ae48157f4 · Correção
• https://osv.dev/vulnerability/CVE-2020-21674 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-21674 · Nota de Segurança