=====================================================================
                                 CERT-Renater

                      Note d'Information No. 2003/VULN046
_____________________________________________________________________

DATE                      : 10/02/2003

HARDWARE PLATFORM(S)      : Sun Cobalt, Sun LX50 Server

OPERATING SYSTEM(S)       : Linux, systemes utilisant "GNU" tar et unzip
                            
======================================================================


Vulnerabilites de utilitaires "unzip" et GNU "tar" sur Sun Linux
 ---------------------------------------------------------------

Des vulnerabilites ont ete mises en evidence dans le code des 
programmes "unzip" de INFO-ZIP et GNU "tar" presentes sur des 
versions de Linux proposees par Sun.

Ces vulnerabilites se situent dans la gestion des noms de fichiers
indiques dans les archives au moment de l'extraction.

Ces vulnerabilites interviennent au moment de l'extraction des 
fichiers archives. Le coeur du probleme: la presence de caracteres 
".." (/../ ou ./..) n'est pas rejetee par ces programmes.
 
De ce fait, une attaque de type "Directory traversal" pourrait permettre 
a un attaquant de remplacer (ou creer) des fichiers a des emplacements de 
son choix. Ce mecanisme pourrait etre utilise pour introduire sur un 
systeme vulnerable un cheval de Troie. L'attaquant pourrait alors etre en 
mesure de provoquer l'execution de code de son choix, voire prendre le 
controle du systeme.


Les systemes vulnerables sont:

Sun Linux:

   Sun Linux 5.0 with tar 1.13.19-6 
   Sun Linux 5.0 with unzip version 5.42 or earlier 
   Sun Linux 5.0 with GNU tar 1.13.19 or earlier 

Note: Sun Linux 5.0 est actuellement present sur les serveurs Sun LX50 Server. 

Cobalt:

   Qube 3 
   RaQ 3 
   RaQ 4 
   RaQ 550 
   RaQ XTR 


Sun a publie des correctifs pour ces systemes:

   Sun Linux

      Sun Linux 5.0 tar-1.13.25-4.7.1.i386.rpm
      Sun Linux 5.0 unzip-5.50-2.i386.rpm
      Sun Linux 5.0 tar-1.13.25-4.7.1.src.rpm
      Sun Linus 5.0 unzip-5.50-2.src.rpm

   Cobalt

      Qube3-All-Security-4.0.1-16170.pkg
      RaQ3-All-Security-5.0.1-16170.pkg
      RaQ4-All-Security-2.0.2-16170.pkg
      RaQ550-All-Security-0.0.1-16170.pkg
      RaQXTR-All-Security-1.0.1-16170.pkg


qui peuvent etre telecharges sur la page suivante:
http://sunsolve.sun.com/pub-cgi/retrieve.pl?doc=fsalert%2F47800&zone_32=category%3Asecurity


Mesures palliatives:  
 ---------------------------

Pour pallier a ces problemes, il est cependant possible d'effectuer:

  -la verification des archives:
            tar -tvf <tarfile>.tar                                                      
  -la verification des fichiers compresses:
            tar -tvzf <tarfile>.tar.<gz|zip|Z|z>  
  -la verification des fichiers zip:
            unzip -l <zipfile>.zip     

avant desarchivage/extraction des fichiers.                                               
Si aucune entree de type "../" n'apparait dans les resultats, on peut 
considerer que l'archive ne presente pas les failles dont il est question
dans cet avis.
                                                 
 
References:
 ---------------

"Sun Linux Vulnerabilities in "unzip" and GNU "tar" During File Extraction"
http://sunsolve.Sun.COM/pub-cgi/retrieve.pl?doc=fsalert%2F47800&zone_32=category%3Asecurity

"Info-ZIP UnZip Hostile Destination Path Vulnerability"
http://online.securityfocus.com/bid/5835/discussion/

"GNU Tar Hostile Destination Path Variant Vulnerability"
http://online.securityfocus.com/bid/5834


======================================================================

        =========================================================
        Les serveurs de référence du CERT-Renater
        http://www.urec.fr/securite
        http://www.cru.fr/securite
        http://www.renater.fr 
	=========================================================
	+ CERT-RENATER		| tel : 01-53-94-20-44		+
	+ 151 bd de l'Hopital	| fax : 01-53-94-20-41		+
	+ 75013 Paris		| email: certsvp@renater.fr	+
	=========================================================