Bulletin d'alerte Debian

DSA-3379-1 miniupnpc -- Mise à jour de sécurité

Date du rapport :
25 octobre 2015
Paquets concernés :
miniupnpc
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 802650.
Dans le dictionnaire CVE du Mitre : CVE-2015-6031.
Plus de précisions :

Aleksandar Nikolic de Cisco Talos a découvert une vulnérabilité de dépassement de tampon dans la fonctionnalité d'analyseur XML de miniupnpc, une bibliothèque légère du client IGD (Internet Gateway Device) d'UPnP. Un attaquant distant pourrait prendre avantage de ce défaut pour provoquer le plantage d'une application utilisant la bibliothèque miniupnpc, ou éventuellement pour exécuter du code arbitraire avec les droits de l'utilisateur exécutant l'application.

Pour la distribution oldstable (Wheezy), ce problème a été corrigé dans la version 1.5-2+deb7u1.

Pour la distribution stable (Jessie), ce problème a été corrigé dans la version 1.9.20140610-2+deb8u1.

Pour la distribution unstable (Sid), ce problème sera corrigé prochainement.

Nous vous recommandons de mettre à jour vos paquets miniupnpc.