Bulletin d'alerte Debian
DLA-383-1 claws-mail -- Mise à jour de sécurité pour LTS
- Date du rapport :
- 12 janvier 2016
- Paquets concernés :
- claws-mail
- Vulnérabilité :
- Oui
- Références dans la base de données de sécurité :
- Dans le dictionnaire CVE du Mitre : CVE-2015-8614, CVE-2015-8708.
- Plus de précisions :
-
DrWhax
du projet Tails a signalé l'absence, dans Claws Mail, de vérifications d'intervalles dans certaines fonctions de conversion de texte. Un attaquant distant pourrait exploiter cela pour exécuter du code arbitraire sous l'identité d'un utilisateur qui reçoit de lui un message avec Claws Mail.- CVE-2015-8614
Il n’y avait de vérifications de longueur produite pour les conversions entre JIS (ISO-2022-JP) et EUC-JP, entre JIS et UTF-8 et à partir de Shift_JIS vers EUC-JP.
- CVE-2015-8708
Le correctif original pour CVE-2015-8614 était incomplet.
Pour la distribution oldoldstable (Squeeze), ce problème a été corrigé dans la version 3.7.6-4+squeeze2.
Pour la distribution oldstable (Wheezy) et la distribution stable (Jessie), cela sera corrigé bientôt. Ces versions étaient construites avec des fonctions de durcissement qui rendaient ce problème plus difficile à exploiter.
- CVE-2015-8614