Bulletin d'alerte Debian

DLA-50-1 file -- Mise à jour de sécurité pour LTS

Date du rapport :

10 septembre 2014

Paquets concernés :

file

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2014-3538, CVE-2014-3587.

Plus de précisions :

CVE-2014-3538
File ne restreint pas correctement la quantité de données lues durant une recherche d’expression rationnelle. Cela permet à des attaquants distants de provoquer un déni de service (consommation de CPU).
CVE-2014-3587
Un dépassement d’entier dans la fonction cdf_read_property_info dans cdf.c permet à des attaquants distants de provoquer un déni de service (plantage de l'application).

Remarque : les sept autres problèmes de Wheezy, corrigés dans 5.11-2+deb7u4 (DSA-3021-1), étaient déjà gérés dans 5.04-5+squeeze6 (DLA 27-1) en juillet 2014. Aussi, en tant que modifications et comme effet de bord des changements d’alors, la détection de type MIME de quelques fichiers a été améliorée en passant de « application/octet-stream » à quelque chose de plus spécifique comme « application/x-dosexec » ou « application/x-iso9660-image ».

Pour Debian 6 Squeeze, ces problèmes ont été corrigés dans la version 5.04-5+squeeze7 de file.