CVSS: 9.8EPSS: 0%CPEs: 300EXPL: 0CVE-2017-8283
https://notcve.org/view.php?id=CVE-2017-8283
dpkg-source in dpkg 1.3.0 through 1.18.23 is able to use a non-GNU patch program and does not offer a protection mechanism for blank-indented diff hunks, which allows remote attackers to conduct directory traversal attacks via a crafted Debian source package, as demonstrated by use of dpkg-source on NetBSD. Dpkg-source en dpkg en las versiones comprendidas entre la 1.3.0 y la 1.18.23 es capaz de usar un programa de parches non-GNU que no ofrece un mecanismo de protección para diff hunks identadas en blanco, lo que permite a atacantes remotos realizar ataques de salto de directorio a través de un paquete fuente Debian, como se demuestra mediante el uso de dpkg-source en NetBSD. • http://www.openwall.com/lists/oss-security/2017/04/20/2 http://www.securityfocus.com/bid/98064 • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') •
CVSS: 4.3EPSS: 0%CPEs: 30EXPL: 0CVE-2015-0840
https://notcve.org/view.php?id=CVE-2015-0840
The dpkg-source command in Debian dpkg before 1.16.16 and 1.17.x before 1.17.25 allows remote attackers to bypass signature verification via a crafted Debian source control file (.dsc). El comando dpkg-source en Debian dpkg anterior a 1.16.16 y 1.17.x anterior a 1.17.25 permite a atacantes remotos evadir verificación de firmas a través de un fichero de control de fuentes de Debian (.dsc) manipulado. • http://lists.fedoraproject.org/pipermail/package-announce/2015-May/157387.html http://lists.opensuse.org/opensuse-updates/2015-06/msg00029.html http://www.debian.org/security/2015/dsa-3217 http://www.ubuntu.com/usn/USN-2566-1 • CWE-284: Improper Access Control •
CVSS: 6.8EPSS: 5%CPEs: 1EXPL: 3CVE-2014-8625
https://notcve.org/view.php?id=CVE-2014-8625
Multiple format string vulnerabilities in the parse_error_msg function in parsehelp.c in dpkg before 1.17.22 allow remote attackers to cause a denial of service (crash) and possibly execute arbitrary code via format string specifiers in the (1) package or (2) architecture name. Múltiples vulnerabilidades de cadenas de formatos en la función parse_error_msg en parsehelp.c en dpkg anterior a 1.17.22 permiten a atacantes remotos causar una denegación de servicio (caída) y posiblemente ejecutar código arbitrario a través de especificadores de cadenas de formatos en el nombre (1) del paquete o (2) de la arquitectura. • http://lists.fedoraproject.org/pipermail/package-announce/2015-May/157387.html http://seclists.org/oss-sec/2014/q4/539 http://seclists.org/oss-sec/2014/q4/551 http://seclists.org/oss-sec/2014/q4/622 https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=768485 https://bugs.launchpad.net/ubuntu/+source/dpkg/+bug/1389135 https://exchange.xforce.ibmcloud.com/vulnerabilities/98551 • CWE-134: Use of Externally-Controlled Format String •
CVSS: 6.4EPSS: 1%CPEs: 1EXPL: 0CVE-2014-3864
https://notcve.org/view.php?id=CVE-2014-3864
Directory traversal vulnerability in dpkg-source in dpkg-dev 1.3.0 allows remote attackers to modify files outside of the intended directories via a crafted source package that lacks a --- header line. Vulnerabilidad de salto de directorio en dpkg-source en dpkg-dev 1.3.0 permite a atacantes remotos modificar archivos fuera del directorio intencionado a través de un paquete de fuente manipulado que no tiene una línea de cabecera ---. • http://openwall.com/lists/oss-security/2014/05/25/2 http://www.debian.org/security/2014/dsa-2953 http://www.securityfocus.com/bid/67725 http://www.ubuntu.com/usn/USN-2242-1 https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=746498 • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') •
CVSS: 6.4EPSS: 24%CPEs: 1EXPL: 2CVE-2014-3865 – dpkg Source Package - Index: pseudo-header Processing Multiple Local Directory Traversals
https://notcve.org/view.php?id=CVE-2014-3865
Multiple directory traversal vulnerabilities in dpkg-source in dpkg-dev 1.3.0 allow remote attackers to modify files outside of the intended directories via a source package with a crafted Index: pseudo-header in conjunction with (1) missing --- and +++ header lines or (2) a +++ header line with a blank pathname. Múltiples vulnerabilidades de salto de directorio en dpkg-source en dpkg-dev 1.3.0 permiten a atacantes remotos modificar archivos fuera de los directorios intencionados a través de un paquete fuente con una pseudo-cabecera Index: manipulada en conjunto con (1) líneas de cabecera missing --- and +++ o (2) una línea de cabecera +++ con un nombre de ruta en blanco. • https://www.exploit-db.com/exploits/39207 http://openwall.com/lists/oss-security/2014/05/25/2 http://www.debian.org/security/2014/dsa-2953 http://www.securityfocus.com/bid/67727 http://www.ubuntu.com/usn/USN-2242-1 https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=749183 • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') •