Спустя четыре года с момента прошлого выпуска опубликован релиз утилиты для архивирования файлов cpio 2.13, применяемой в пакетах RPM и в initramfs. В новом выпуске устранены три уязвимости:

• CVE-2015-1197 — позволяет перезаписать файлы за пределами каталога, в который раскрывается архив.
• CVE-2016-2037 — приводит к записи в область вне выделенного буфера при обработке специально оформленных файлов cpio;
• CVE-2019-14866) — из-за недостаточной проверки заголовка TAR-файла позволяет при создании архива в формате TAR из списка файлов, в случае присутствия в этом списке специально оформленного очень большого tar-архива, создать результирующий архив, включающий файлы, распакованные из добавляемого tar-архива с неверными правами доступа.

        tar cf suffix.tar AUTHORS      dd if=/dev/zero seek=16G bs=1 count=0 of=suffix.tar      echo suffix.tar | cpio -H tar -o | tar tvf -           -rw-r--r-- 1000/1000       0 2019-08-30 16:40 suffix.tar      -rw-r--r-- thomas/thomas 161 2019-08-30 16:40 AUTHORS  

Кроме того, в библиотеке Libarchive, предоставляющей средства для работы с различными форматами архивов и сжатых файлов, выявлена уязвимость (CVE-2019-18408), которая приводит к обращению к уже освобождённому блоку памяти (use-after-free) при обработке специально оформленных файлов в формате RAR. Проблема потенциально может привести к запуску кода злоумышленника, но возможность эксплуатации рассматривается как маловероятная (уровень опасности выставлен 4.4 из 10, т.е. проблема признана неопасной). Проблема без лишней огласки устранена в выпуске 3.4.0.

Источник: http://www.opennet.ru/opennews/art.shtml?num=51820