Bulletin d'alerte Debian

DLA-2491-1 openexr -- Mise à jour de sécurité pour LTS

Date du rapport :

13 décembre 2020

Paquets concernés :

openexr

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2020-16588, CVE-2020-16589.

Plus de précisions :

Deux problèmes ont été découverts dans openexr, un ensemble d’outils pour manipuler des fichiers d’image OpenEXR, souvent utilisés dans l’industrie de graphisme numérique pour des effets visuels et des animations.

CVE-2020-16588
Un problème de déréférencement de pointeur NULL existe dans OpenEXR 2.3.0 d’Academy Software Foundation dans generatePreview dans makePreview.cpp qui peut provoquer un déni de service à l'aide d'un fichier EXR contrefait.
CVE-2020-16589
Un dépassement de tampon de tas existe dans OpenEXR 2.3.0 d’Academy Software Foundation dans writeTileData dans ImfTiledOutputFile.cpp qui peut provoquer un déni de service à l'aide d'un fichier EXR contrefait.

Pour Debian 9 Stretch, ces problèmes ont été corrigés dans la version 2.2.0-11+deb9u2.

Nous vous recommandons de mettre à jour vos paquets openexr.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.