Bulletin d'alerte Debian

DLA-2168-1 libplist -- Mise à jour de sécurité pour LTS

Date du rapport :

2 avril 2020

Paquets concernés :

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le système de suivi des bogues Debian : Bogue 851196, Bogue 852385, Bogue 854000, Bogue 860945.
Dans le dictionnaire CVE du Mitre : CVE-2017-5209, CVE-2017-5545, CVE-2017-5834, CVE-2017-5835, CVE-2017-6435, CVE-2017-6436, CVE-2017-6439, CVE-2017-7982.

Plus de précisions :

libplist est une bibliothèque pour lire et écrire les listes binaires et XML au format d'Apple. Elle fait partie de la pile libimobiledevice, fournissant un accès aux appareils d’Apple (iPod, iPhone, iPad…).

CVE-2017-5209
La fonction base64decode dans base64.c permet à des attaquants d’obtenir des informations sensibles de la mémoire du processus ou de causer un déni de service (lecture excessive de tampon) à l’aide de données de liste de propriétés d’Apple encodée avec split.
CVE-2017-5545
La fonction main dans plistutil.c permet à des attaquants d’obtenir des informations sensibles de la mémoire du processus ou de causer un déni de service (lecture excessive de tampon) à l’aide de données de liste de propriétés d’Apple trop courtes.
CVE-2017-5834
La fonction parse_dict_node dans bplist.c permet à des attaquants de provoquer un déni de service (lecture hors limites de tas et plantage) à l'aide d'un fichier contrefait.
CVE-2017-5835
libplist permet à des attaquants de provoquer un déni de service (allocation de mémoire importante et plantage) à l’aide de vecteurs comportant une taille de décalage de zéro.
CVE-2017-6435
La fonction parse_string_node dans bplist.c permet à des utilisateurs locaux de provoquer un déni de service (corruption de mémoire) à l'aide d'un fichier plist contrefait.
CVE-2017-6436
La fonction parse_string_node dans bplist.c permet à des utilisateurs locaux de provoquer un déni de service (erreur d’allocation mémoire) à l'aide d'un fichier plist contrefait.
CVE-2017-6439
Un dépassement de tampon de tas dans la fonction parse_string_node dans bplist.c permet à des utilisateurs locaux de provoquer un déni de service (écriture hors limites) à l'aide d'un fichier plist contrefait.
CVE-2017-7982
Un dépassement d'entier dans la fonction plist_from_bin dans bplist.c permet à des attaquants distants de provoquer un déni de service (lecture hors limites de tampon de tas et plantage d'application) à l'aide d'un fichier plist contrefait.

Pour Debian 8 Jessie, ces problèmes ont été corrigés dans la version 1.11-3+deb8u1.

Nous vous recommandons de mettre à jour vos paquets libplist.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.