Debian dla-4762 ： libarchive-dev - 安全性更新
low Nessus Plugin ID 341670
語言:
概要
遠端 Debian 主機上缺少一個或多個安全性更新。說明
遠端 Debian 11 / 12 主機已安裝的套件會受到 dla-4762 公告中提及的多個弱點影響。- ------------------------------------------------------------------------- Debian LTS 公告 DLA-4762-1 [email protected] https://www.debian.org/lts/security/Abhijith 賓夕法尼亞州 2026 年 8 月 31 日 https://wiki.debian.org/LTS
- -------------------------------------------------------------------------
套件：libarchive 版本：3.4.3-2+deb11u5 3.6.2-1+deb12u5 CVE 識別碼： CVE-2026-14164 CVE-2026-15028 CVE-2026-16517
在多格式存檔和壓縮庫 libarchive 中發現多個漏洞
CVE-2026-14164
在 libarchive 的 RAR5 閱讀器中發現雙重釋放問題。在剖析特製的 RAR5 封存期間，filtered_buf指標在解壓縮狀態重新初始化期間被釋放後可能會保持過時狀態。後續處理另一個封存項目可能會觸發相同記憶體區域的第二個釋放，從而導致雙重釋放條件。成功利用可能會導致使用易受攻擊的 libarchive API 的應用程式意外終止，進而導致拒絕服務。
CVE-2026-15028
遠端攻擊者透過提供特製的 tar 封存來觸發堆積溢位。在剖析包含格式錯誤的 SUN.holesdata sparse-file 屬性的 PAX 擴充標頭期間發生此問題。成功利用可能會導致拒絕服務，使系統不可用，或可能允許任意程式碼執行，從而使攻擊者能夠控制受影響的系統。
CVE-2026-16517
在 libarchive 的 ZIP 寫入器中發現一個帶正負號的整數溢位弱點。在 archive_write_set_format_zip.c 的 archive_write_zip_header 函式中，當啟用 ZIP 加密且項目檔案大小接近 INT64_MAX 時，將加密額外負荷新增至項目大小會int64_t溢位，導致未定義的行為。這可能會導致不正確的 Zip64 擴展決策或潛在的內存損壞。
對於 Debian 11 bullseye，這些問題已在 3.4.3-2+deb11u5 版本中修復。
對於 Debian 12 書蟲，這些問題已在 3.6.2-1+deb12u5 版本中修復。
建議您升級 libarchive 套件。
如需有關 libarchive 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/libarchive
有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS
Tenable 已直接從 Debian 安全公告擷取前置描述區塊。
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
升級 libarchive-dev 套件。另請參閱
https://packages.debian.org/source/bookworm/libarchive
https://packages.debian.org/source/bullseye/libarchive
https://security-tracker.debian.org/tracker/CVE-2026-14164
https://security-tracker.debian.org/tracker/CVE-2026-15028
https://security-tracker.debian.org/tracker/CVE-2026-16517
https://security-tracker.debian.org/tracker/source-package/libarchive
Plugin 詳細資訊
嚴重性: Low
ID: 341670
檔案名稱: debian_DLA-4762.nasl
版本: 1.1
類型: Local
代理程式: unix
已發布: 2026/8/31
已更新: 2026/8/31
支援的感應器: Agentless Assessment, Continuous Assessment, Frictionless Assessment Agent, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
風險資訊
VPR
風險因素: Medium
分數: 5
百分位數: 93.82
CVSS v2
風險因素: Low
基本分數: 3.2
時間性分數: 2.4
媒介: CVSS2#AV:L/AC:L/Au:S/C:P/I:N/A:P
CVSS 評分資料來源: CVE-2026-15028
CVSS v3
風險因素: Low
基本分數: 3.9
時間性分數: 3.4
媒介: CVSS:3.0/AV:L/AC:L/PR:L/UI:R/S:U/C:L/I:N/A:L
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
弱點資訊
CPE: cpe:/o:debian:debian_linux:11.0, cpe:/o:debian:debian_linux:12.0, p-cpe:/a:debian:debian_linux:libarchive-dev, p-cpe:/a:debian:debian_linux:libarchive-tools, p-cpe:/a:debian:debian_linux:libarchive13
必要的 KB 項目: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2026/8/31
弱點發布日期: 2026/6/30