9VSA-00083-001 CSIRT informa de vulnerabilidad en libarchive y mitigación

Resumen

El Equipo de Respuesta ante Incidentes de Seguridad Informática, CSIRT, comparte la información entregada por diferentes fuentes, referente a una vulnerabilidad en la biblioteca de compresión ‘libarchive’, utilizada en múltiples distribuciones de Linux, FreeBSD y NetBSD, la cual permite generar ataques de tipo ejecución de código remoto. También se comparte su respectiva forma de mitigarla.

 

Vulnerabilidad

CVE-2019-18408

 

Impacto

La biblioteca ‘libarchive’, ocupada para leer y crear archivos comprimidos entre otras funcionalidades, al no validar correctamente los datos procesados, permite, utilizando un archivo especialmente diseñado, acceder a la memoria luego de su uso, lo cual se podría aprovechar para generar ataques de ejecución de código remoto, por ende, comprometer al sistema en múltiples maneras.

 

Productos Afectados

Archivo ‘libarchive’ versiones anteriores a la 3.4.0 en los sistemas operativos Debian, Ubuntu, Gentoo, Arch Linux, FreeBSD y NetBSD.

 

Mitigación

Actualizar a la versión 3.4.0 de ‘libarchive’, a través de las actualizaciones indicadas por los diferentes fabricantes.

 

Enlace

  • https://nvd.nist.gov/vuln/detail/CVE-2019-18408
  • https://security-tracker.debian.org/tracker/source-package/libarchive
  • https://usn.ubuntu.com/4169-1/
  • https://bugs.gentoo.org/show_bug.cgi?id=CVE-2019-18408

Informe

El informe oficial publicado por el CSIRT del Gobierno de Chile está disponible en el siguiente enlace: 9VSA-00083-001.docx