Bulletin d'alerte Debian

DSA-1533-2 exiftags -- Vérification des entrées manquante

Date du rapport :
27 mars 2008
Paquets concernés :
exiftags
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 457062.
Dans le dictionnaire CVE du Mitre : CVE-2007-6354, CVE-2007-6355, CVE-2007-6356.
Plus de précisions :

Christian Schmid et Meder Kydyraliev (de la sécurité de Google) ont découvert un certain nombre de vulnérabilités dans exiftags, un utilitaire d'extraction des métadonnées Exif des images JPEG. Le projet des expositions et vulnérabilités communes (CVE) identifie les problèmes suivants :

  • CVE-2007-6354

    La validation inadéquate de propriétés Exif peut conduire à des accès mémoire invalides si elle est exécuté sur une image conçue de manière malveillante. Cela peut inclure la corruption de zones de mémoire du système et l'exécution de code arbitraire.

  • CVE-2007-6355

    La validation de données défectueuses peut conduire à des débordements d'entiers. Cela peut causer d'autres accès mémoire invalides, ainsi qu'une possible corruption de mémoire ou l'exécution de code arbitraire.

  • CVE-2007-6356

    Des références Exif cycliques de répertoires de fichiers d'images peuvent cause un déni de service (boucle sans fin).

Pour l'ancienne distribution stable (Sarge), ces problèmes ont été corrigés dans la version 0.98-1.1+0sarge1.

Pour la distribution stable (Etch), ces problèmes ont été corrigés dans la version 0.98-1.1+etch1.

Pour la distribution instable (Sid), ces problèmes ont été corrigés dans la version 1.01-0.1.

Nous vous recommandons de mettre à jour votre paquet exiftags.

Corrigé dans :

Debian GNU/Linux 3.1 (sarge)

Source :
http://security.debian.org/pool/updates/main/e/exiftags/exiftags_0.98-1.1+0sarge1.diff.gz
http://security.debian.org/pool/updates/main/e/exiftags/exiftags_0.98.orig.tar.gz
http://security.debian.org/pool/updates/main/e/exiftags/exiftags_0.98-1.1+0sarge1.dsc
Alpha:
http://security.debian.org/pool/updates/main/e/exiftags/exiftags_0.98-1.1+0sarge1_alpha.deb
AMD64:
http://security.debian.org/pool/updates/main/e/exiftags/exiftags_0.98-1.1+0sarge1_amd64.deb
ARM:
http://security.debian.org/pool/updates/main/e/exiftags/exiftags_0.98-1.1+0sarge1_arm.deb
HP Precision:
http://security.debian.org/pool/updates/main/e/exiftags/exiftags_0.98-1.1+0sarge1_hppa.deb
Intel IA-32:
http://security.debian.org/pool/updates/main/e/exiftags/exiftags_0.98-1.1+0sarge1_i386.deb
Intel IA-64:
http://security.debian.org/pool/updates/main/e/exiftags/exiftags_0.98-1.1+0sarge1_ia64.deb
Motorola 680x0:
http://security.debian.org/pool/updates/main/e/exiftags/exiftags_0.98-1.1+0sarge1_m68k.deb
Big-endian MIPS:
http://security.debian.org/pool/updates/main/e/exiftags/exiftags_0.98-1.1+0sarge1_mips.deb
Little-endian MIPS:
http://security.debian.org/pool/updates/main/e/exiftags/exiftags_0.98-1.1+0sarge1_mipsel.deb
PowerPC:
http://security.debian.org/pool/updates/main/e/exiftags/exiftags_0.98-1.1+0sarge1_powerpc.deb
IBM S/390:
http://security.debian.org/pool/updates/main/e/exiftags/exiftags_0.98-1.1+0sarge1_s390.deb

Debian GNU/Linux 4.0 (etch)

Source :
http://security.debian.org/pool/updates/main/e/exiftags/exiftags_0.98-1.1+etch1.dsc
http://security.debian.org/pool/updates/main/e/exiftags/exiftags_0.98-1.1+etch1.diff.gz
http://security.debian.org/pool/updates/main/e/exiftags/exiftags_0.98.orig.tar.gz
Alpha:
http://security.debian.org/pool/updates/main/e/exiftags/exiftags_0.98-1.1+etch1_alpha.deb
AMD64:
http://security.debian.org/pool/updates/main/e/exiftags/exiftags_0.98-1.1+etch1_amd64.deb
ARM:
http://security.debian.org/pool/updates/main/e/exiftags/exiftags_0.98-1.1+etch1_arm.deb
Intel IA-32:
http://security.debian.org/pool/updates/main/e/exiftags/exiftags_0.98-1.1+etch1_i386.deb
Intel IA-64:
http://security.debian.org/pool/updates/main/e/exiftags/exiftags_0.98-1.1+etch1_ia64.deb
Big-endian MIPS:
http://security.debian.org/pool/updates/main/e/exiftags/exiftags_0.98-1.1+etch1_mips.deb
Little-endian MIPS:
http://security.debian.org/pool/updates/main/e/exiftags/exiftags_0.98-1.1+etch1_mipsel.deb
PowerPC:
http://security.debian.org/pool/updates/main/e/exiftags/exiftags_0.98-1.1+etch1_powerpc.deb
IBM S/390:
http://security.debian.org/pool/updates/main/e/exiftags/exiftags_0.98-1.1+etch1_s390.deb
Sun Sparc:
http://security.debian.org/pool/updates/main/e/exiftags/exiftags_0.98-1.1+etch1_sparc.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.