Libarchive代码执行漏洞安全通告
发布时间 2019-12-04漏洞编号和级别
CVE编号：CVE-2019-18408，危险级别：高危，CVSS分值：7.5
影响版本
Libarchive版本 < 3.4.0；
漏洞概述
libarchive是一款多格式存档和压缩库。Libarchive被众多Linux和BSD系统的文件和包管理器使用（默认包含在Debian，Ubuntu，Gentoo，Arch Linux，FreeBSD和NetBSD发行版中），以及被OS X 和Chrome OS的组件和工具使用。Libarchive支持实时访问多种压缩文件格式，比如7z、zip、cpio、pax、rar、cab、uuencode，被众多开发者广泛使用在自己的软件产品中，一些压缩软件、邮件系统、文件管理工具甚至安全软件应用中也整合了Libarchive代码。
libarchive 3.4.0之前版本中，当出现某些解码失败（ARCHIVE_FAILED）情况时，archive_read_support_format_rar.c文件的archive_read_format_rar_read_data()函数存在UAF漏洞（use-after-free）。攻击者利用精心构造的压缩文件，触发Libarchive库的ARCHIVE_FAILED后，利用漏洞执行恶意代码。
漏洞验证
暂无POC/EXP。
修复建议
1.目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://github.com/libarchive/libarchive/commit/b8592ecba2f9e451e1f5cb7ab6dcee8b8e7b3f60；
2.Linux各发行版安全更新信息如下：
Debian：https://security-tracker.debian.org/tracker/CVE-2019-18408
Ubuntu：https://usn.ubuntu.com/4169-1/
Gentoo：https://bugs.gentoo.org/show_bug.cgi?id=CVE-2019-18408
ArchLinux：https://www.archlinux.org/packages/?sort=&q=libarchive&maintainer=&flagged=；
3.关注其它可能合入了Libarchive库的软件相关公告，如受影响及时更新。
参考链接
http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201910-1468
京公网安备11010802024551号