漏洞信息详情

ID-software libdigidoc ‘handleStartDataFile’函数路径遍历漏洞

• CNNVD编号：CNNVD-201308-464
• 危害等级： 中危
  
• CVE编号： CVE-2013-5648
• 漏洞类型： 路径遍历
• 发布时间： 2013-08-29
• 威胁类型： 远程
• 更新时间： 2013-09-05
• 厂        商： id
• 漏洞来源：

漏洞简介

libdigidoc是美国ID Software公司的一个用于处理数字签名的文件库。

ID-software 3.7.2之前的版本中使用的libdigidoc 3.6.0.0版本中的DigiDocSAXParser.c文件中的‘handleStartDataFile’函数中存在绝对路径遍历漏洞。远程攻击者可借助DDOC文件中以“/”或“＼”开头的文件名，利用该漏洞覆盖任意文件。

漏洞公告

目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接：

http://www.id.ee/?lang=en&id=34283#3_7_2

参考网址

来源: svnweb.mageia.org

链接:http://svnweb.mageia.org/packages/updates/3/libdigidoc/current/SOURCES/libdigidoc-3.6.0.0-security-fix-DataFile-name-tag.patch?revision=472660&view=markup

来源: bugzilla.redhat.com

链接:https://bugzilla.redhat.com/show_bug.cgi?id=1002299

来源: bugs.mageia.org

链接:https://bugs.mageia.org/show_bug.cgi?id=11100

来源: www.id.ee

链接:http://www.id.ee/?lang=en&id=34283#3_7_2

受影响实体

• Id Libdigidoc:3.6.0.0  
• Id Id-Software:3.7.1  
• Id Id-Software:3.7  

补丁

暂无