Bulletin d'alerte Debian

DLA-1177-1 poppler -- Mise à jour de sécurité pour LTS

Date du rapport :
18 novembre 2017
Paquets concernés :
poppler
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 879066, Bogue 877952, Bogue 877954, Bogue 877957.
Dans le dictionnaire CVE du Mitre : CVE-2017-14975, CVE-2017-14976, CVE-2017-14977, CVE-2017-15565.
Plus de précisions :

poppler, une bibliothèque de rendu de PDF, était affectée par plusieurs bogues de déni de service (plantage d'application), de déréférencement de pointeur NULL et de lecture hors limites de tampon basé sur le tas.

  • CVE-2017-14975

    La fonction FoFiType1C::convertToType0 dans FoFiType1C.cc avait une vulnérabilité de déréférencement de pointeur NULL à cause d’une structure de données non initialisée. Cela permet à un attaquant de lancer une attaque par déni de service.

  • CVE-2017-14976

    La fonction FoFiType1C::convertToType0 dans FoFiType1C.cc a une vulnérabilité de lecture hors limites de tampon basé sur le tas si un index hors limites de dictionnaire de fontes est rencontré. Cela permet à un attaquant de lancer une attaque par déni de service.

  • CVE-2017-14977

    La fonction FoFiTrueType::getCFFBlock dans FoFiTrueType.cc a une vulnérabilité de déréférencement de pointeur NULL à cause du manque de validation d’un pointeur de table. Cela permet à un attaquant le lancer une attaque par déni de service.

  • CVE-2017-15565

    Un déréférencement de pointeur NULL existe dans la fonction GfxImageColorMap::getGrayLine() dans GfxState.cc à l'aide d'un document PDF contrefait.

Pour Debian 7 Wheezy, ces problèmes ont été corrigés dans la version 0.18.4-6+deb7u4.

Nous vous recommandons de mettre à jour vos paquets poppler.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.