home.social

#libarchive — Public Fediverse posts

Live and recent posts from across the Fediverse tagged #libarchive, aggregated by home.social.

fetched live
  1. Marcel SIneM(S)US @[email protected] ·

    #libarchive: Sicherheitslücke entpuppt sich als kritisch | Security heise.de/news/libarchive-Siche #Patchday

    #libarchive #patchday
  2. :awesome:🐦‍🔥nemo™🐦‍⬛ 🇺🇦🍉 @[email protected] ·

    🚨 Kritische Sicherheitslücke in der Open-Source-Bibliothek libarchive entdeckt! Ein Fehler beim Verarbeiten von .rar-Archiven kann Speicherstörungen, Schadcode-Ausführung oder DoS verursachen (CVE-2025-5914, CVSS 9.8). Updates dringend empfohlen! Mehr Infos: heise.de/news/libarchive-Siche #CyberSecurity #libarchive #Sicherheitslücke 🔐💻
    #newz

    #newz #sicherheitslucke #libarchive #cybersecurity
  3. zwangseinweisung @[email protected] ·

    Hmmm... Das CVE zu #libarchive ist irgendwie lustig. Wird als kritisch eingestuft aber der Bug funktioniert erst wenn man mehr als 103GB Arbeitsspeicher hat
    github.com/libarchive/libarchi

    #libarchive
  4. Neustradamus :xmpp: :linux: @[email protected] ·

    #libarchive 3.7.9 has been released (#MultiFormatArchive / #CompressionLibrary / #FileArchiver / #DataCompression / #7Zip / #7z / #RAR / #ZIP / #GZip / #TAR / #XAR / #WARC / #BZIP2 / #XZ) libarchive.org/

    #libarchive #multiformatarchive #compressionlibrary #filearchiver #datacompression #7zip
  5. visone @visone ·

    @knasman
    - terminal emulator
    - rss feeds
    - aplications menu
    - compression formats
    - incremental backups
    - video player
    - mastodon client
    fuzzy finder
    - torrent client
    - downloader
    -- virtualization

    #foot #sfeed #tofi #libarchive #rsync #mpv
  6. Habr @[email protected] ·

    Security Week 2508: уязвимости встроенного архиватора Windows

    В октябре 2023 года в Microsoft Windows была добавлена поддержка 11 форматов сжатия данных. Операционная система, долгое время нативно поддерживающая только архивы .zip, научилась разархивировать файлы в формате RAR, 7z и прочих. Реализовано это было с помощью библиотеки libarchive , которая распространяется с открытым исходным кодом. Исследователи из команды DEVCORE проанализировали эту относительно свежую функциональность и обнаружили пару новых уязвимостей. Первая уязвимость ( CVE-2024-26185 ), которую удалось обнаружить исследователям, относится к классу Path Traversal. Это крайне распространенная ошибка, при которой «подготовленный» архив получается сохранить не во временную директорию и не куда указал пользователь, а куда угодно. Достигается это манипуляциями с абсолютным путем к файлу в архиве, которые недостаточно хорошо фильтруются при распаковке. В результате получается то, что изображено на скриншоте: при распаковке архива RAR-файл сохраняется в произвольное место в системе, в данном случае в корневую директорию.

    habr.com/ru/companies/kaspersk

    #ИБ #windows #libarchive

    #libarchive #windows #иб
  7. Jesus Michał von Gentoo 🏔 (he) @[email protected] ·

    Against all odds, and totally by accident, 32-bit #time_t helps us find another bug. This time, #LibArchive wasn't validating dates in ISO9660, and some garbage data was parsed as random dates.

    github.com/libarchive/libarchi

    #Gentoo

    #time_t #libarchive #gentoo
  8. Jezus Michał "Le Wzdych" (on) @[email protected] ·

    Wbrew wszelkiemu prawdopodobieństwu, i przez zupełny przypadek, 32-bitowe #time_t odkrywa kolejny błąd w kodzie. Tym razem to w #LibArchive brakowało walidacji dat w ISO9660, i bzdurne dane zmieniały się w przypadkowe daty.

    github.com/libarchive/libarchi

    #Gentoo

    #time_t #libarchive #gentoo
  9. 0xor0ne @[email protected] ·

    Patch diffing CVE-2024-20696 (libarchive vulnerability) and CVE-2024-20697 using Ghidriff

    clearbluejar.github.io/posts/p

    #libarchive #infosec

    #libarchive #infosec
  10. 0xor0ne @[email protected] ·

    Patch diffing CVE-2024-20696 (libarchive vulnerability) and CVE-2024-20697 using Ghidriff

    clearbluejar.github.io/posts/p

    #libarchive

    #libarchive
  11. Ed Maste @[email protected] ·

    @grumpybozo they are not a maintainer of #libarchive; they contributed a few patches

    #libarchive
  12. Mika @[email protected] ·

    As far as I can tell, you're only impacted by this vulnerability only if:

    - Your distro sources/packages     xz from their release tarballs rather than through the Git source directly.

    - The payload was only included for the     #RPM or #DEB packaging, so unless your distro uses these - you're probably safe.

    - As far as I can tell, it also only affects x86 systems so     #ARM based systems should be fine.

    - As far as I can tell, your system needs to be running     #systemd to be impacted by this, so #Docker/#Podman #containers should mostly if not entirely be fine....? maybe.

    ---

    In other news, people are currently investigating and evaluating other projects also actively contributed by the compromised developer, Jia Tan, including     #libarchive.

    People are also analysing the dev's commit history to deduce their background from their activity lol. They've been found to push commits during     office hours Mon-Fri, every other Saturdays, presumably Public Holidays that seem to align with China's PH, and seems to be on GMT +8 locale.

    🔗 https://github.com/libarchive/libarchive

    🔗 https://twitter.com/hackerfantastic/status/1773864354439417983

    #rpm #deb #arm #systemd #docker #podman
  13. Jezus Michał "Le Wzdych" (on) @[email protected] ·

    Przypadkowe narzekanie z krainy #Gentoo na dziś:

    1. Testy w #LibArchive zaczęły się sypać (a #BSDCPIO oraz #BSDTar nagle zaczęły śmiecić wyjście), bo #LRZip postanowił zmienić przeznaczenie opcji `-q`. Przedtem wyłączała zupełnie szczegółowe informacje na wyjściu, które LRZip domyślnie rzuca, a teraz trzeba podawać `-Q`, żeby zupełnie wyciszyć.

    github.com/libarchive/libarchi

    2. #Git 2.43.2 zepsuł #PkgCheck, bo `git log` przestał akceptować `--no-find-copies`.

    github.com/pkgcore/pkgcheck/is

    #gentoo #libarchive #bsdcpio #bsdtar #lrzip #git
  14. Jesus Michał von Gentoo 🏔 (he) @[email protected] ·

    Random #Gentoo moaning for today:

    1. #LibArchive started failing its tests (and #BSDCPIO and #BSDTar started being verbose) because #LRZip decided to repurpose the `-q` option. Previously, it silenced all the verbose output it defaults to, now you actually need to pass `-Q` to silence it.

    github.com/libarchive/libarchi

    2. #Git 2.43.2 broke #PkgCheck since `git log` apparently no longer accepts `--no-find-copies`.

    github.com/pkgcore/pkgcheck/is

    #gentoo #libarchive #bsdcpio #bsdtar #lrzip #git
  15. Jezus Michał "Le Wzdych" (on) @[email protected] ·

    Poranna porcja aktualizacji paczek w #Gentoo zakończona.

    Testy w #libarchive 3.7.2 sypią się na 32-bitowych architekturach. Miejmy nadzieję, że to tylko kwestia testów dla wariantu zstd, który nie jest w stanie działać na 32-bitowych architekturach, a nie ogólniejszego błędu w kodzie.

    github.com/libarchive/libarchi

    Nie widać też żadnych postępów w temacie naprawy libarchive.pc:

    github.com/libarchive/libarchi
    github.com/libarchive/libarchi

    google-auth usunęło zależność od six. Niestety, dalej brak postępów w kwestii zgodności z urllib3 w wersji 2:

    github.com/googleapis/google-a

    #brotli 1.1.0 zaczęło się sypać na pypy3. Ktoś to nawet zgłosił, ale już widzę, jak bardzo to obchodzi Google'a. To rzekłszy, mamy tam traceback z RPythona, więc zgłoszę problem wprost do #PyPy.

    github.com/google/brotli/issue

    #Python

    #python #pypy #brotli #libarchive #gentoo
  16. Jesus Michał von Gentoo 🏔 (he) @[email protected] ·

    Done my share of #Gentoo bumps for the morning.

    #libarchive 3.7.2 fails tests on 32-bit architectures. Hopefully it's just a matter of testing "ricer mode" of zstd that can't work on 32-bit arches, and not a more general code bug.

    github.com/libarchive/libarchi

    Also it doesn't seem that anyone is actually making any progress on fixing libarchive.pc:

    github.com/libarchive/libarchi
    github.com/libarchive/libarchi

    google-auth seems to have started removing the dependency on six. Unfortunately, they still don't seem to be interested in fixing support for urllib3-2:

    github.com/googleapis/google-a

    #brotli 1.1.0 seems to have started crashing on pypy3. Someone even reported a bug but I can already imagine how much Google cares. That said, it gives an RPython traceback, so I'm going to file that to #PyPy upstream as well.

    github.com/google/brotli/issue

    #Python

    #gentoo #libarchive #brotli #pypy #python