PT-2021-2227 · Gnome+8 · Gnome Autoar+8
Publicado
2021-02-05
·
Atualizado
2022-05-20
·
CVE-2020-36241
CVSS v3.1
5.5
Média
| Vetor | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
Nome do software vulnerável e versões afetadas
GNOME gnome-autoar, versões até 0.2.4
Descrição
O problema está relacionado a uma função no arquivo autoar-extractor.c da biblioteca gnome-autoar, que é usada pelo GNOME Shell, Nautilus e outros softwares. Falta uma verificação para determinar se o pai de um arquivo é um link simbólico para um diretório fora do local de extração pretendido, permitindo o traversal de diretórios durante a extração. Isso poderia permitir que um invasor revelasse informações protegidas.
Recomendações
Para as versões do GNOME gnome-autoar até a 0.2.4, considere desativar a função autoar-extractor.c até que um patch esteja disponível para impedir ataques de traversal de diretório. Restrinja o acesso a diretórios confidenciais para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Exploit
Link Following
Path traversal
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Centos
Linuxmint
Red Hat
Rocky Linux
Suse
Ubuntu
Gnome Autoar