Vulnérabilité dans libarchive

Date de publication :

Une vulnérabilité critique a été découverte dans libarchive, une bibliothèque d’archives et de compression multi-formats. Elle peut permettre à un attaquant distant de provoquer un déni de service et possiblement d’autres impacts non spécifiés.

CVE-2020-9308 [Score CVSS v3 : 8.8] : Une erreur d’analyse dans la fonction archive_read_support_format_rar5.c amène celle-ci à essayer de décompresser des fichiers RAR5 ayant une entête invalide ou corrompue (par exemple une entête ayant une taille nulle). Ceci peut provoquer une erreur de segmentation qui peut résulter en un déni de service. Il est aussi précisé que d’autres impacts non spécifiés pourraient résulter de l’exploitation de cette vulnérabilité.

Un attaquant pourrait exploiter cette vulnérabilité en envoyant un fichier RAR5 spécialement forgé à un utilisateur afin que celui-ci essaye de le décompresser et ainsi causer un déni de service.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

    Déni de service
    Autre(s) problème(s) de sécurité non spécifiés

Criticité

    Score CVSS v3 : 8.8

Existence d’un code d’exploitation

    Aucun code d’exploitation n’est disponible, cependant cette vulnérabilité ne nécessite pas des compétences techniques élevées pour pouvoir l’exploiter

Composants vulnérables

    libarchive versions antérieures à la 3.4.2

CVE

    CVE-2020-9308

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Mettre à jour libarchive vers la version 3.4.2 ou supérieure

Solution de contournement

  • Aucune solution de contournement n’est disponible

Liens