Den 14. september blev der udgivet en korrektionsversion 3.7.5 af biblioteket libarchive, som udbedrer mange fejl og sårbarheder. Biblioteket og de tilhørende værktøjer er skrevet i C og distribueres under licensen New BSD.
Fejlrettelser for sårbarheder:
- mange sårbarheder identificeret ved hjælp af Microsoft SAST;
- cpio: potentiel (fuzz-test) overflow af 64-bit signed midlertidige værdier gid/uid/size/ino ved parsing af AFIO arkiver (en variant af CPIO);
- lzop: forhindring af heltalsoverflow;
- rar4: forhindring af kopiering af en for stor værdi til int i funktionen copy_from_lzss_window_to_unp (CVE-2024-20696);
- rar4: fjernede udførelse af vilkårlig kode (CVE-2024-26256, CVS-2024-26256);
- rar4: OOB i audio- og delta-filtre;
- rar4: overskridelse af grænserne ved håndtering af store filer;
- rar4: tilføjet grænsekontrol i rgb-filteret;
- rar4: OOB ved læsning af arkiv med Unicode filnavne indeni;
- rar5: nu nulstilles data ready cache ved omfordeling af bufferplads;
- rpm: korrekt beregning af størrelsen på headerne;
- unzip: overskridelse af grænserne og ukendt indhold i hukommelsen, hvis der er EOF i filnavnet ved udpakkning (ved valg af [r]ename);
- overskridelse af grænserne i funktionen mktemp;
- uu: OOB ved behandling af strenge længere end 34816 bytes.
Der er også rettet andre læsefejl i arkiver i formaterne 7zip, ar, lha, shar, rar5 og xar. Der er foretaget mange rettelser til Windows OS.
Kilde: linux.org.ru
