Bulletin d'alerte Debian

DLA-317-1 vorbis-tools -- Mise à jour de sécurité pour LTS

Date du rapport :
29 septembre 2015
Paquets concernés :
vorbis-tools
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2014-9638, CVE-2014-9639, CVE-2014-9640, CVE-2015-6749.
Plus de précisions :

Divers problèmes ont été corrigés dans Debian LTS (Squeeze) pour le paquet vorbis-tools.

  • CVE-2014-9638

    Un fichier WAV contrefait avec un nombre de canaux fixé à zéro provoquera le plantage d'oggenc du fait d'un problème de division par zéro. Ce problème a été corrigé par l'amont en fournissant un correctif pour CVE-2014-9639. Rapport amont de zuBux.

  • CVE-2014-9639

    Un problème de dépassement d'entier a été découvert dans oggenc, lié au nombre de canaux dans le fichier WAV d'entrée. Le problème déclenche un accès mémoire hors limites qui provoque le plantage d'oggenc (audio.c). Rapport amont de zuBux.

    Le correctif amont a été rétroporté pour vorbis-tools dans Debian LTS (Squeeze).

  • CVE-2014-9640

    Correctif pour un plantage à la fermeture d'une entrée « raw » (dd if=/dev/zero bs=1 count=1 | oggenc -r - -o out.ogg). Rapport amont de hanno.

    Le correctif amont a été rétroporté pour vorbis-tools dans Debian LTS (Squeeze).

  • CVE-2015-6749

    Un dépassement de tampon dans la fonction aiff_open dans oggenc/audio.c de vorbis-tools 1.4.0 et les versions antérieures permettait à des attaquants distants de provoquer un déni de service (plantage) à l'aide d'un fichier AIFF contrefait. Rapport amont de pengsu.

    Le correctif amont a été rétroporté pour vorbis-tools dans Debian LTS (Squeeze).