Bulletin d'alerte Debian

DLA-97-1 eglibc -- Mise à jour de sécurité pour LTS

Date du rapport :
29 novembre 2014
Paquets concernés :
eglibc
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2012-6656, CVE-2014-6040, CVE-2014-7817.
Plus de précisions :
  • CVE-2012-6656

    Correction de la vérification de validation lors de la conversion d’ibm930 en utf. Lors de la conversion de code IBM930 avec iconv(), si du code IBM930 contenant des caractères multioctets non valables 0xffff est indiqué, alors iconv() conduit à une erreur de segmentation.

  • CVE-2014-6040

    Plantages lors de saisies non valables dans les modules gconv d’IBM [BZ n° 17325]. Ces modifications sont basées sur la correction pour BZ n° 14134 dans la soumission 6e230d11837f3ae7b375ea69d7905f0d18eb79e5.

  • CVE-2014-7817

    La fonction wordexp() échoue à gérer correctement l’indicateur WRDE_NOCMD lors du traitement d’entrées arithmétiques du genre « $((... ``)) », où « ... » peut être n’importe quoi de valable. Les accents graves dans l’expression arithmétique sont évalués par l’interpréteur de commandes même si WRDE_NOCMD interdit la substitution de commandes. Cela permet à un attaquant de tenter de passer des commandes dangereuses à l’aide de constructions de la forme précédente, et de contourner l’indicateur WRDE_NOCMD. Ce correctif répare cela en vérifiant WRDE_NOCMD dans exec_comm(), le seul endroit permettant d’exécuter un interpréteur. Toutes les autres vérifications sont superflues et supprimées.

Pour Debian 6 Squeeze, ces problèmes ont été corrigés dans eglibc version 2.11.3-4+deb6u2