发布日期：2009-10-19
更新日期：2009-10-21

受影响系统：

aria2 aria2 < 1.6.2

不受影响系统：

aria2 aria2 1.6.2

描述：

---

BUGTRAQ  ID: 37801
CVE ID: CVE-2009-3617

aria2是Linux下的高速下载工具。

aria2的src/AbstractCommand.cc文件中的AbstractCommand::onAbort函数存在格式串漏洞。如果启用了日志功能，远程攻击者就可以在下载URI中包含printf格式串标识符触发分段错误，导致拒绝服务的情况。

<*来源：Jan Lieskovsky （jlieskov@redhat.com）
  
  链接：https://bugzilla.redhat.com/show_bug.cgi?format=multiple&id=529342
        http://secunia.com/advisories/31732
        http://marc.info/?l=oss-security&m=125568632528906&w=2
*>

建议：

---

厂商补丁：

aria2
-----
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://aria2.svn.sourceforge.net/viewvc/aria2/trunk/src/AbstractCommand.cc?r1=1539&r2=1572

浏览次数：2010
严重程度：0（网友投票）