Cyber ·
libtar: correção incompleta mantém leitura fora dos limites do heap via arquivo tar
Aviso no feed oss-sec de 4 de novembro de 2026 relata que a correção do libtar para CVE-2021-33643 e CVE-2021-33644 é incompleta: um arquivo tar especialmente criado ainda causa leitura fora dos limites do heap, inclusive em build do Debian 12 que já inclui a correção.
Fato: a correção do libtar para CVE-2021-33643 e CVE-2021-33644 é incompleta. Segundo a mensagem reproduzida no feed oss-sec, um arquivo tar especialmente criado ainda pode provocar leitura fora dos limites do heap, inclusive em compilações de distribuições que já incluem essa correção. O caso foi confirmado no Debian com a versão 1.2.20-8+deb12u1.
Cronologia relatada: o autor informou a equipe de segurança do Debian em 2 de novembro de 2026, e a equipe autorizou a publicação em 3 de novembro. Um ID de CVE foi solicitado ao MITRE e está pendente. O autor também afirma que o libtar parece não ser mantido. A seção de detalhes está truncada no texto arquivado, então os passos técnicos não são reproduzidos aqui.
Relevância: a Rota Nacional não corrige bibliotecas de terceiros nem oferece proteção específica contra este defeito. Recomenda-se verificar se o libtar está presente em sistemas e imagens, acompanhar o aviso da distribuição e considerar substituir componentes sem manutenção. Aguarde a atribuição do CVE e o boletim oficial antes de concluir sobre impacto e versões afetadas.
Para consultar e verificar: abra o aviso original indicado na fonte, compare com o rastreador de segurança da sua distribuição e confirme a versão instalada. Não cole arquivos ou saídas de sistemas internos em ferramentas de IA para estudar este defeito.