CVSS: 5.5EPSS: 0%CPEs: 2EXPL: 0CVE-2021-28650 – gnome-autoar: Directory traversal via directory symbolic links pointing outside of the destination directory (incomplete CVE-2020-36241 fix)
https://notcve.org/view.php?id=CVE-2021-28650
autoar-extractor.c in GNOME gnome-autoar before 0.3.1, as used by GNOME Shell, Nautilus, and other software, allows Directory Traversal during extraction because it lacks a check of whether a file's parent is a symlink in certain complex situations. NOTE: this issue exists because of an incomplete fix for CVE-2020-36241. El archivo autoar-extractor.c en GNOME gnome-autoar versiones anteriores a 0.3.1, tal y como es usado en GNOME Shell, Nautilus y otro software, permite un Salto de Directorio durante la extracción porque carece de una comprobación de si el padre de un archivo es un enlace simbólico en determinadas situaciones complejas. NOTA: este problema se presenta debido a una corrección incompleta del CVE-2020-36241 • https://gitlab.gnome.org/GNOME/gnome-autoar/-/commit/8109c368c6cfdb593faaf698c2bf5da32bb1ace4 https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/BN5TVQ7OHZEGY6AGFLAZWCVCI53RYNHQ https://security.gentoo.org/glsa/202105-10 https://access.redhat.com/security/cve/CVE-2021-28650 https://bugzilla.redhat.com/show_bug.cgi?id=1940026 • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') CWE-59: Improper Link Resolution Before File Access ('Link Following') •
CVSS: 5.5EPSS: 0%CPEs: 2EXPL: 1CVE-2020-36241 – gnome-autoar: Directory traversal via directory symbolic links pointing outside of the destination directory
https://notcve.org/view.php?id=CVE-2020-36241
autoar-extractor.c in GNOME gnome-autoar through 0.2.4, as used by GNOME Shell, Nautilus, and other software, allows Directory Traversal during extraction because it lacks a check of whether a file's parent is a symlink to a directory outside of the intended extraction location. El archivo autoar-extractor.c en GNOME gnome-autoar versiones hasta 0.2.4, tal y como es usado por GNOME Shell, Nautilus y otro software, permite un Salto de Directorio durante la extracción porque presenta una falta de comprobación de si el padre de un archivo es un enlace simbólico para un directorio fuera del lugar de extracción previsto • https://gitlab.gnome.org/GNOME/gnome-autoar/-/commit/adb067e645732fdbe7103516e506d09eb6a54429 https://gitlab.gnome.org/GNOME/gnome-autoar/-/issues/7 https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/BN5TVQ7OHZEGY6AGFLAZWCVCI53RYNHQ https://security.gentoo.org/glsa/202105-10 https://access.redhat.com/security/cve/CVE-2020-36241 https://bugzilla.redhat.com/show_bug.cgi?id=1925640 • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') CWE-59: Improper Link Resolution Before File Access ('Link Following') •