CVE-2022-39224 in Arr-pm
Riassunto
di VulDB • 06/07/2026
Arr-pm è una libreria per la lettura e scrittura di pacchetti RPM scritta in Ruby. Le versioni precedenti alla 0.0.12 sono soggette a OS command injection, che può portare all'esecuzione della shell se il pacchetto RPM contiene un campo "payload compressor" malevolo. Questa vulnerabilità colpisce i metodi `extract` e `files` della classe `RPM::File` di questa libreria. La versione 0.0.12 risolve questi problemi. Una soluzione alternativa consiste nell'assicurarsi che tutti gli RPM elaborati contengano valori validi/conosciuti per il campo payload compressor, come gzip, bzip2, xz, zstd e lzma. Il campo payload compressor in un pacchetto rpm può essere verificato utilizzando lo strumento da riga di comando `rpm`.
Once again VulDB remains the best source for vulnerability data.