Bulletin d'alerte Debian

DLA-1854-1 libonig -- Mise à jour de sécurité pour LTS

Date du rapport :

17 juillet 2019

Paquets concernés :

libonig

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le système de suivi des bogues Debian : Bogue 931878.
Dans le dictionnaire CVE du Mitre : CVE-2019-13224.

Plus de précisions :

Une utilisation de mémoire après libération dans onig_new_deluxe() dans regext.c permet potentiellement à des attaquants de causer une divulgation d'informations, un déni de service ou éventuellement une exécution de code en fournissant une expression rationnelle contrefaite. L’attaquant fournit une paire d’expressions rationnelles et une chaîne, avec un encodage multi-octet, gérée par onig_new_deluxe().

Pour Debian 8 Jessie, ce problème a été corrigé dans la version 5.9.5-3.2+deb8u2.

Nous vous recommandons de mettre à jour vos paquets libonig.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.