摘要:
libarchive security update
安全等级: Medium
公告ID: KylinSec-SA-2025-2544
发布日期: 2025年7月6日
关联CVE: CVE-2025-25724
libarchive 是一个采用 BSD 许可证的开源 C 编程库，提供对多种存档格式（包括 tar、cpio、pax、zip 和 ISO9660 镜像）的流式访问。该发行版还包含 bsdtar 和 bsdcpio，它们是充分利用 libarchive 功能的全功能 tar 和 cpio 实现。
安全修复：
在 libarchive 3.7.7 及更早版本中，tar/util.c 文件中的 list_item_verbose 函数未检查 strftime 的返回值。当读取 verbose 值为 2 的恶意构造的 TAR 存档时，可能导致拒绝服务或其他未明确的负面影响。例如，100 字节的缓冲区可能无法满足某些自定义区域设置的需求。(CVE-2025-25724)
| cve名称 | 产品 | 组件 | 是否受影响 |
|---|---|---|---|
| CVE-2025-25724 | KY3.5.3 | libarchive | Fixed |
| 软件名称 | 架构 | 版本号 |
|---|---|---|
| libarchive-help | noarch | 3.5.2-8.ky3_5 |
| bsdcat | x86_64 | 3.5.2-8.ky3_5 |
| bsdcpio | x86_64 | 3.5.2-8.ky3_5 |
| bsdtar | x86_64 | 3.5.2-8.ky3_5 |
| libarchive | x86_64 | 3.5.2-8.ky3_5 |
| libarchive-devel | x86_64 | 3.5.2-8.ky3_5 |
| bsdcat | aarch64 | 3.5.2-8.ky3_5 |
| bsdcpio | aarch64 | 3.5.2-8.ky3_5 |
| bsdtar | aarch64 | 3.5.2-8.ky3_5 |
| libarchive | aarch64 | 3.5.2-8.ky3_5 |
| libarchive-devel | aarch64 | 3.5.2-8.ky3_5 |
方法一：下载安装包进行升级安装
1、通过下载链接下载需要升级的升级包保存，如 xxx.rpm
2、通过rpm命令升级，如 rpm -Uvh xxx.rpm
方法二：通过软件源进行升级安装
1、保持能够连接上互联网
2、通过yum命令升级指定的包，如 yum install 包名
