Bulletin d'alerte Debian

DLA-1825-1 kdepim -- Mise à jour de sécurité pour LTS

Date du rapport :

18 juin 2019

Paquets concernés :

kdepim

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le système de suivi des bogues Debian : Bogue 926996.
Dans le dictionnaire CVE du Mitre : CVE-2019-10732.

Plus de précisions :

Un oracle de déchiffrement basé sur la réponse a été découvert dans kdepim qui fournit le client de courriel KMail.

Un attaquant en possession de courriels chiffrés S/MIME ou PGP peut les envelopper comme sous-parties dans un courriel multi-partie contrefait. La ou les parties chiffrées peuvent être plus tard être cachées en utilisant des caractères de nouvelle ligne HTML/CSS ou ASCII. Ce courriel multi-partie modifié peut être réexpédié par l’attaquant au destinataire prévu. Si le destinataire répond à ce courriel (d’apparence anodine), il divulgue involontairement en retour à l’attaquant le texte en clair des parties chiffrées du message.

Pour Debian 8 Jessie, ce problème a été corrigé dans la version 4:4.14.1-1+deb8u2.

Nous vous recommandons de mettre à jour vos paquets kdepim.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.