Avis du CERT-FR

Json

Objet : Vulnérabilité de la commande UnZip

Gestion du document

Référence	CERTA-2003-AVI-138
Titre	Vulnérabilité de la commande UnZip
Date de la première version	20 août 2003
Date de la dernière version	20 août 2003
Source(s)	Bulletin de sécurité DSA-344 de Debian Bulletin de sécurité MDKSA-2003:071 de Mandrake Bulletin de sécurité RHSA-2003:199 de RedHat

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Atteinte à l'intégrité du système

Systèmes affectés

Tous les systèmes possédant la version 5.50 (ou antérieure) de UnZip.

Description

Lors de l'extraction des fichiers contenus dans une archive au format .zip, le chemin des fichiers n'est pas correctement validé.

Il est alors possible, pour un utilisateur mal intentionné, de constituer une archive contenant des fichiers qui seront extraits dans un répertoire parent du répertoire d'extraction initial (présence de la séquence "../" dans le chemin d'accès).

Solution

Appliquer le correctif de l'éditeur :

Bulletin de sécurité DSA-344 de Debian :

http://www.debian.org/security/2003/dsa-344

Bulletin de sécurité MDKSA-2003:073 de Mandrake :

http://www.mandrakesecure.net/en/advisories/advisory.php?name=MDKSA-2003:073

Bulletin de sécurité RHSA-2003:199 de Red Hat :

http://rhn.redhat.com/errata/RHSA-2003-199.html

Documentation

Site Info-Zip :
http://www.info-zip.org/pub/infozip/UnZip.html

Gestion détaillée du document

Date	Description
20 août 2003	version initiale.