低危 libtar多个文件覆盖漏洞

CVE编号

CVE-2013-4420

利用情况

暂无

补丁情况

官方补丁

披露时间

2014-02-21

漏洞描述

libtar是操作POSIX tar文件的C语言库，可将文件压缩为tar文档或从tar文档释放出来。 libtar 1.2.20及之前版本没有有效验证 "tar_extract_glob()"及"tar_extract_all()"函数内的路径前缀。可导致覆盖任意文件。

解决建议

目前没有详细解决方案提供：http://www.feep.net/libtar/

参考链接
http://www.debian.org/security/2014/dsa-2863
https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=731860
https://lists.feep.net:8080/pipermail/libtar/2014-February/000403.html

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	feep	libtar	*		Up to (including) 1.2.20
	运行在以下环境
	应用	feep	libtar	1.2.11	-
	运行在以下环境
	应用	feep	libtar	1.2.13	-
	运行在以下环境
	应用	feep	libtar	1.2.14	-
	运行在以下环境
	应用	feep	libtar	1.2.15	-
	运行在以下环境
	应用	feep	libtar	1.2.16	-
	运行在以下环境
	应用	feep	libtar	1.2.17	-
	运行在以下环境
	应用	feep	libtar	1.2.18	-
	运行在以下环境
	应用	feep	libtar	1.2.19	-
	运行在以下环境
	系统	debian_10	libtar	*		Up to (excluding) 1.2.20-2
	运行在以下环境
	系统	debian_11	libtar	*		Up to (excluding) 1.2.20-2
	运行在以下环境
	系统	debian_12	libtar	*		Up to (excluding) 1.2.20-2
	运行在以下环境
	系统	debian_6	libtar	*		Up to (excluding) 1.2.11-6+deb6u2
	运行在以下环境
	系统	debian_7	libtar	*		Up to (excluding) 1.2.16-1+deb7u2
	运行在以下环境
	系统	debian_sid	libtar	*		Up to (excluding) 1.2.20-2
	运行在以下环境
	系统	ubuntu_12.04.5_lts	libtar	*		Up to (excluding) 2013-10-11
	运行在以下环境
	系统	ubuntu_16.04.7_lts	libtar	*		Up to (excluding) 1.2.20-4

阿里云评分 3.3

• 攻击路径 远程
• 攻击复杂度 复杂
• 权限要求 无需权限
• 影响范围 有限影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 无影响
• 数据完整性 传输被破坏
• 服务器危害 无影响
• 全网数量 N/A

CWE-ID	漏洞类型
CWE-22	对路径名的限制不恰当（路径遍历）

Exp相关链接

- avd.aliyun.com