Bulletin d'alerte Debian

DLA-767-1 curl -- Mise à jour de sécurité pour LTS

Date du rapport :
29 décembre 2016
Paquets concernés :
curl
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 848958.
Dans le dictionnaire CVE du Mitre : CVE-2016-9586.
Plus de précisions :

L'implémentation des fonctions de printf() de libcurl déclenche un dépassement de tampon lors de la production d'une grande sortie à virgule flottante. Le bogue survient quand la conversion génère plus de 255 octets.

Ce défaut se produit parce que la conversion de nombres à virgule flottante utilise les fonctions du système sans effectuer les vérifications correctes de limites.

S’il existe une application qui accepte une chaîne de formatage de l’extérieur sans filtrage nécessaire d’entrée, cela pourrait permettre des attaques distantes.

Ce défaut n'existe pas dans l'outil en ligne de commande.

Pour Debian 7 Wheezy, ces problèmes ont été corrigés dans la version 7.26.0-1+wheezy18.

Nous vous recommandons de mettre à jour vos paquets curl.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.