Ubuntu USN-8902-1: Überlauf im ZIP-Writer von libarchive bei verschlüsselten Einträgen
Victoria Shinder1 Min. LesezeitCanonical hat am 8. Oktober USN-8902-1 zu libarchive veröffentlicht, der Bibliothek, die unter Ubuntu Archive liest und schreibt. Die Meldung betrifft eine CVE, CVE-2026-16517, und drei unterstützte LTS-Versionen.
Der Fehler. Laut Meldung hatte der ZIP-Writer von libarchive einen Überlauf einer vorzeichenbehafteten Ganzzahl bei verschlüsselten Einträgen, deren Größe nahe am Maximalwert liegt. Canonical schätzt ein, dass ein Angreifer libarchive damit möglicherweise zum Absturz bringen oder beliebigen Code ausführen könnte; in der Übersicht heißt es, Code könne mit den Rechten des Nutzers laufen, dessen Programm eine präparierte Datei öffnet.
Bemerkenswert ist die Richtung. Die meisten Archivfehler in Sicherheitsmeldungen stecken im Leser — dem Code, der auspackt, was ein Fremder geschickt hat. Dieser liegt im Schreiber und hängt an Eintragsgröße und Verschlüsselung. Relevant sind also die Daten, die die eigene Software beim Erzeugen von ZIP-Dateien an libarchive übergibt: Dienste, die aus hochgeladenen Dateien verschlüsselte ZIP-Downloads bauen, Backup-Jobs und Exportfunktionen — nicht nur der Archivmanager auf dem Desktop.
Korrigierte Paketversionen:
- Ubuntu 26.04 LTS (resolute):
libarchive13t643.8.5-1ubuntu2.3 - Ubuntu 24.04 LTS (noble):
libarchive13t643.7.2-2ubuntu0.9 - Ubuntu 22.04 LTS (jammy):
libarchive133.6.0-1ubuntu1.9
Canonical empfiehlt wie üblich ein normales Systemupdate. Da libarchive eine gemeinsam genutzte Bibliothek ist, schützt das Update nur Prozesse, die danach starten; lang laufende Dienste, die sie verwenden, sollten neu gestartet werden.
Was die Meldung nicht sagt: Sie nennt weder einen CVSS-Wert noch die Upstream-Version von libarchive noch Hinweise auf Ausnutzung. Das steht, wenn überhaupt, im CVE-Eintrag und beim Projekt selbst und wird hier nicht behauptet.
Quelle: Ubuntu Security Notice USN-8902-1, 8. Oktober 2026 — https://ubuntu.com/security/notices/USN-8902-1