Bulletin d'alerte Debian

DLA-2783-1 hiredis -- Mise à jour de sécurité pour LTS

Date du rapport :

12 octobre 2021

Paquets concernés :

hiredis

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2021-32765.

Plus de précisions :

Il a été découvert qu’il existait une vulnérabilité de dépassement d’entier dans hiredis, une bibliothèque C cliente pour communiquer avec une base de données Redis. Elle survient lors du traitement et de l’analyse de réponses « multi-bulk ».

CVE-2021-32765
Hiredis est une bibliothèque C cliente minimaliste pour la base de données Redis. Dans les versions affectées, Hiredis est vulnérable à un dépassement d'entier si des données malveillantes ou contrefaites « RESP » du protocole « mult-bulk » sont fournies. Lors de l’analyse de réponses « multi-bulk » (genre tableau), hiredis échoue à vérifier si « count * sizeof(redisReply*) » peut être représenté dans « SIZE_MAX ». S’il ne peut pas, et si l’appel « calloc() » ne réalise pas lui-même cette vérification, cela conduirait à une courte allocation et un dépassement de tampon subséquent. Les utilisateurs qui ne peuvent pas mettre à jour peuvent régler l’option de contexte [maxelements] (https://github.com/redis/hiredis#reader-max-array-elements) à une valeur suffisamment petite pour qu’aucun débordement ne soit possible.

Pour Debian 9 Stretch, ces problèmes ont été corrigés dans la version 0.13.3-1+deb9u1.

Nous vous recommandons de mettre à jour vos paquets hiredis.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.