Bulletin d'alerte Debian

DLA-1691-1 exiv2 -- Mise à jour de sécurité pour LTS

Date du rapport :

26 février 2019

Paquets concernés :

exiv2

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2018-17581, CVE-2018-19107, CVE-2018-19108, CVE-2018-19535, CVE-2018-20097.

Plus de précisions :

Plusieurs problèmes ont été découverts dans exiv2, un outil de manipulation de métadonnées EXIF/IPTC/XMP.

CVE-2018-17581
Un dépassement de pile dû à un appel de fonction récursif causant une consommation excessive de pile pourrait aboutir à un déni de service.
CVE-2018-19107
Une lecture hors limites de tampon basé sur le tas causée par un dépassement d'entier pourrait aboutir à un déni de service à l'aide d'un fichier contrefait.
CVE-2018-19108
Il pourrait exister une boucle infinie dans une fonction pouvant être activée par une image contrefaite.
CVE-2018-19535
Une lecture hors limites de tampon basé sur le tas pourrait aboutir dans un déni de service à l'aide d'un fichier contrefait.
CVE-2018-20097
Une image contrefaite pourrait aboutir à un déni de service.

Pour Debian 8 Jessie, ces problèmes ont été corrigés dans la version 0.24-4.1+deb8u3.

Nous vous recommandons de mettre à jour vos paquets exiv2.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.