Uma biblioteca de compactação incluída por padrão em distribuições Debian, Ubuntu, Gentoo, Arch Linux, FreeBSD e NetBSD, contém uma vulnerabilidade que pode permitir a hackers executarem código nas máquinas dos usuários. Os sistemas operacionais macOS e Windows, nos quais essa biblioteca também está incluída e usada como um utilitário de descompactação padrão, não foram afetados. A falha no Libarchive que compromete Linux, FreeBSD e NetBSD foi descoberta pelo Google.
Falha CVE-2019-18408 no Libarchive compromete Linux, FreeBSD e NetBSD
A vulnerabilidade afeta o Libarchive, uma biblioteca para ler e criar arquivos compactados. É um poderoso kit de ferramentas tudo-em-um para trabalhar com arquivos compactados. Além disso, também inclui outros utilitários Linux/BSD, como tar, cpio e cat. Portanto, isso o torna ideal para uma ampla variedade de operações e o motivo pelo qual é amplamente adotado nas operações sistemas.
Na semana passada, detalhes sobre um grande bug que afetou a biblioteca foram tornados públicos depois que várias distribuições Linux e FreeBSD lançaram atualizações contendo patches para a versão Libarchive que eles estavam enviando para os usuários.
O bug, rastreado no identificador CVE-2019-18408, permite que um invasor execute código no sistema do usuário por meio de um arquivo malicioso.
Os cenários de exploração incluem usuários que recebem arquivos maliciosos de atacantes ou aplicativos locais que usam os vários componentes do Libarchive para descompactar arquivos.
Notícias Relacionadas
Tecnologia móvel
Samsung destaca avanço nas mensagens RCS com suporte no iOS
O suporte a RCS chega ao iOS com o iOS 18.1, permitindo que usuários de Android e iPhone aproveitem uma experiência de mensagens aprimorada e sem necessidade de redes sociais.
Mercado elétrico
Xiaomi atinge R$ 7,14 bilhões em receita com veículos elétricos no 3º trimestre de 2024
Xiaomi fecha o 3º trimestre de 2024 com R$ 7,14 bilhões em receita com veículos elétricos, impulsionado pelo sucesso da série SU7, apesar do prejuízo operacional.
O bug foi descoberto e corrigido em junho. No entanto, levou algum tempo para que o patch chegasse a todos os sistemas operacionais. A vulnerabilidade foi identificada pelos pesquisadores de segurança do Google usando duas ferramentas automatizadas de teste de código, denominadas ClusterFuzz e OSS-Fuzz, e corrigida no Libarchive 3.4.0.
Poderia ter sido pior
Inclui desktops e sistemas operacionais de servidor, gerenciadores de pacotes, utilitários de segurança, navegadores de arquivos e ferramentas de processamento multimídia. Os nomes maiores incluem pkgutils, Pacman, CMake, Nautilus, arca do KDE e Samba.
Embora os sistemas operacionais impactados tenham implementado atualizações para solucionar o bug relatado, atualmente o status do patch do Libarchive nos outros aplicativos é desconhecido.
Felizmente, Windows e macOS, os dois sistemas operacionais mais populares hoje não são afetados. Caso contrário, o bug teria causado grandes dores de cabeça aos usuários em todo o mundo, assim como um bug do WinRAR no ocorrido este ano.
Até o momento, não há comprovação de que o problema foi explorado.
