Bulletin d'alerte Debian

DLA-95-1 clamav -- Mise à jour de sécurité pour LTS

Date du rapport :
2 décembre 2014
Paquets concernés :
clamav
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2014-9050, CVE-2013-6497.
Plus de précisions :

Deux bogues ont été découverts dans clamav et sont corrigés avec cette publication.

Le premier problème est dans clamscan, l’analyseur anti-virus en ligne de commande fourni dans le paquet, qui pourrait conduire à des plantages lors de l’analyse de certains fichiers (CVE-2013-6497). Le second problème est dans libclamav, provoquant un dépassement de tas lors de l’analyse d’un fichier PE brouillé par le Crypter y0da, contrefait pour l'occasion (CVE-2014-9050). Veuillez noter que cela est exploitable à distance lorsque ClamAV est utilisé comme analyseur de passerelle de courriels.

Pour Debian 6 Squeeze, ces problèmes ont été corrigés dans clamav version 0.98.1+dfsg-1+deb6u4.

Si vous utilisez clamav, nous vous recommandons fortement une mise à niveau vers cette version.