Bulletin d'alerte Debian

DLA-1819-1 pyxdg -- Mise à jour de sécurité pour LTS

Date du rapport :

16 juin 2019

Paquets concernés :

pyxdg

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2019-12761.

Plus de précisions :

Un problème d’injection de code a été découvert dans PyXDG, une bibliothèque utilisée pour trouver les répertoires configuration/cache/etc. de freedesktop.org.

CVE-2019-12761
Un problème d’injection de code a été découvert dans PyXDG avant 0.26, réalisée à l’aide de code Python contrefait dans un élément Category d’un document XML Menu dans un fichier .menu. XDG_CONFIG_DIRS doit être configuré pour déclencher une analyse xdg.Menu.parse à l’intérieur du répertoire contenant ce fichier. Cela est dû à un manque de vérification dans xdg/Menu.py avant un appel eval.

Pour Debian 8 Jessie, ces problèmes ont été corrigés dans la version 0.25-4+deb8u1.

Nous vous recommandons de mettre à jour vos paquets pyxdg.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.