Bulletin d'alerte Debian

DLA-1042-1 libquicktime -- Mise à jour de sécurité pour LTS

Date du rapport :

28 juillet 2017

Paquets concernés :

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le système de suivi des bogues Debian : Bogue 864664.
Dans le dictionnaire CVE du Mitre : CVE-2017-9122, CVE-2017-9123, CVE-2017-9124, CVE-2017-9125, CVE-2017-9126, CVE-2017-9127, CVE-2017-9128.

Plus de précisions :

CVE-2017-9122
La fonction quicktime_read_moov dans moov.c dans libquicktime 1.2.4 permet à des attaquants distants de provoquer un déni de service (boucle infinie et consommation de CPU) à l'aide d'un fichier mp4 contrefait.
CVE-2017-9123
La fonction lqt_frame_duration dans lqt_quicktime.c dans libquicktime 1.2.4 permet à des attaquants distants de provoquer un déni de service (lecture de mémoire non valable et plantage d'application) à l'aide d'un fichier mp4 contrefait.
CVE-2017-9124
La fonction quicktime_match_32 dans util.c dans libquicktime 1.2.4 permet à des attaquants distants de provoquer un déni de service (déréférencement de pointeur NULL et plantage d'application) à l'aide d'un fichier mp4 contrefait.
CVE-2017-9125
La fonction lqt_frame_duration dans lqt_quicktime.c dans libquicktime 1.2.4 permet à des attaquants distants de provoquer un déni de service (lecture hors limites de tampon basé sur le tas) à l'aide d'un fichier mp4 contrefait.
CVE-2017-9126
La fonction quicktime_read_dref_table dans dref.c dans libquicktime 1.2.4 permet à des attaquants distants de provoquer un déni de service (dépassement de tampon basé sur le tas et plantage d'application) à l'aide d'un fichier mp4 contrefait.
CVE-2017-9127
La fonction quicktime_user_atoms_read_atom dans useratoms.c dans libquicktime 1.2.4 permet à des attaquants distants de provoquer un déni de service (dépassement de tampon basé sur le tas et plantage d'application) à l'aide d'un fichier mp4 contrefait.
CVE-2017-9128
La fonction quicktime_video_width dans lqt_quicktime.c dans libquicktime 1.2.4 permet à des attaquants distants de provoquer un déni de service (lecture hors limites de tampon basé sur le tas et plantage d'application) à l'aide d'un fichier mp4 contrefait.

Pour Debian 7 Wheezy, ces problèmes ont été corrigés dans la version 2:1.2.4-3+deb7u2.

Nous vous recommandons de mettre à jour vos paquets libquicktime.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.