S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 20 août 2003
N° CERTA-2003-AVI-138
Affaire suivie par: CERT-FR
le 20 août 2003

Avis du CERT-FR

Objet: Vulnérabilité de la commande UnZip

Gestion du document

Référence CERTA-2003-AVI-138
Titre Vulnérabilité de la commande UnZip
Date de la première version 20 août 2003
Date de la dernière version 20 août 2003
Source(s) Bulletin de sécurité DSA-344 de Debian
Bulletin de sécurité RHSA-2003:199 de RedHat
Bulletin de sécurité MDKSA-2003:071 de Mandrake
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Atteinte à l'intégrité du système.

Systèmes affectés

Tous les systèmes possédant la version 5.50 (ou antérieure) de UnZip.

Description

Lors de l'extraction des fichiers contenus dans une archive au format .zip, le chemin des fichiers n'est pas correctement validé.

Il est alors possible, pour un utilisateur mal intentionné, de constituer une archive contenant des fichiers qui seront extraits dans un répertoire parent du répertoire d'extraction initial (présence de la séquence "../" dans le chemin d'accès).

Solution

Appliquer le correctif de l'éditeur :

Documentation

Gestion détaillée du document

    le 20 août 2003
    version initiale.