Skip to content

サポート   >  セキュリティー&アップデート/ERRATA

セキュリティ問題を修正したunarjのアップデートパッケージ

アドバイスID: RHSA-2005:007-05
最終更新日: 2005-01-12
影響のあるプロダクト: Red Hat Enterprise Linux AS (v. 2.1)
Red Hat Enterprise Linux ES (v. 2.1)
Red Hat Enterprise Linux WS (v. 2.1)
Red Hat Linux Advanced Workstation 2.1 for the Itanium Processor
CVEs (cve.mitre.org): CAN-2004-0947
CAN-2004-1027

Security Advisory   セキュリティ・アドバイス

概要:

unarjプログラムは、ARJ互換アーカイブを解凍できるアーカイブユーティリティです。

アーカイブに含まれたロングファイル名を処理する際のバッファオーバーフローのバグが、unarjで発見されました。攻撃者が巧妙に作成したアーカイブを利用し、unarjをクラッシュさせたり、ファイルを解凍したときに任意のコードを実行させたりすることが可能です。「Common Vulnerabilities and Exposures」プロジェクト（cve.mitre.org）により、この問題はCAN-2004-0947と命名されています。

さらに、パストラバーサルの脆弱性がunarjで発見されました。攻撃者が巧妙に作成したアーカイブを利用し、これを解凍したときに親（..）ディレクトリにファイルを作成することが可能です。再帰的に使用された場合、この脆弱性は不可欠のシステムファイルやプログラムを上書きするために使用される可能性があります。「Common Vulnerabilities and Exposures」プロジェクト（cve.mitre.org）により、この問題はCAN-2004-1027と命名されています。

unarjのユーザは、これらの問題に対する脆弱性のないバックポートパッチを含んだ上記アップデートパッケージにアップグレードしてください。

アップデート・パッケージ:

Red Hat Enterprise Linux AS (v. 2.1)
SRPMS:
unarj-2.43-13.src.rpm     abb1c235036bd233c437b003a4dbb8c1
 
IA-32:
unarj-2.43-13.i386.rpm     1b3f6e7e8780f02a7b6038b78f3af8c2
 
IA-64:
unarj-2.43-13.ia64.rpm     346187352a1792700194a7c7bd5de83f
 
Red Hat Enterprise Linux ES (v. 2.1)
SRPMS:
unarj-2.43-13.src.rpm     abb1c235036bd233c437b003a4dbb8c1
 
IA-32:
unarj-2.43-13.i386.rpm     1b3f6e7e8780f02a7b6038b78f3af8c2
 
Red Hat Enterprise Linux WS (v. 2.1)
SRPMS:
unarj-2.43-13.src.rpm     abb1c235036bd233c437b003a4dbb8c1
 
IA-32:
unarj-2.43-13.i386.rpm     1b3f6e7e8780f02a7b6038b78f3af8c2
 
Red Hat Linux Advanced Workstation 2.1 for the Itanium Processor
SRPMS:
unarj-2.43-13.src.rpm     abb1c235036bd233c437b003a4dbb8c1
 
IA-64:
unarj-2.43-13.ia64.rpm     346187352a1792700194a7c7bd5de83f
 
(The unlinked packages above are only available from the Red Hat Network)

解決法:

このアップデートを適用する前に、システムに関連するリリース済の errata が適用済であることをご確認ください。
それぞれのアーキテクチャで全てのRPMをアップデートするには、以下のコマンドを実行してください：

rpm -Fvh [filename]

[filename] は、アップデートしたいRPMのファイル名です。現在インストールされているパッケージのみ、アップグレードされます。現在いるディレクトリにインストールしたいRPM *しか* 無い場合には、 ワイルドカード (*.rpm) も使うことができます。
このアップデートは、Red Hat Network 経由でも行なえます。アップデートを適用する非常に簡便な方法です。Red hat Network をご利用になるには、以下のコマンドで、アップデートエージェントを起動してください。

up2date

このコマンドで、システムに適切なRPMをアップグレードする対話形式のプロセスを起動します。

バグジラ:  (詳細は、こちらbugzilla[英語]を御覧ください。)

138462 - CAN-2004-0947 buffer overflow in unarj
138835 - CAN-2004-1027 unarj directory traversal issue

参照:

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2004-0947
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2004-1027


ここに在るパッケージはセキュリティの為、 Red Hat, Inc. によって、 GPG 認証されています。キーは以下から利用可能になっています:
http://www.redhat.com/about/contact.html

各パッケージを確認するには次のコマンドをご利用ください: rpm --checksig filename
各パッケージが壊れていないか、もしくは改ざんされていないかを確認するには、以下のコマンドで MD5 チェックサムをお調べください: rpm --checksig --nogpg filename
注意: GnuPG キーをチェックするためには、RPM 3.0 以上が必要です。