Bulletin d'alerte Debian

DLA-105-1 graphviz -- Mise à jour de sécurité pour LTS

Date du rapport :
11 décembre 2014
Paquets concernés :
graphviz
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 772648.
Dans le dictionnaire CVE du Mitre : CVE-2014-9157.
Plus de précisions :

Joshua Rogers a découvert une vulnérabilité de chaîne de formatage dans la fonction yyerror de lib/cgraph/scan.l dans Graphviz, une riche collection d'outils de traçage de graphes. Un attaquant pourrait utiliser ce défaut pour provoquer le plantage de graphviz ou éventuellement exécuter du code arbitraire.

Pour Debian 6 Squeeze, ces problèmes ont été corrigés dans la version 2.26.3-5+squeeze3 de graphviz.