Bulletin d'alerte Debian

DLA-3305-1 libstb -- Mise à jour de sécurité pour LTS

Date du rapport :
31 janvier 2023
Paquets concernés :
libstb
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 934966, Bogue 1014530, Bogue 1023693, Bogue 1014531, Bogue 1014532.
Dans le dictionnaire CVE du Mitre : CVE-2018-16981, CVE-2019-13217, CVE-2019-13218, CVE-2019-13219, CVE-2019-13220, CVE-2019-13221, CVE-2019-13222, CVE-2019-13223, CVE-2021-28021, CVE-2021-37789, CVE-2021-42715, CVE-2022-28041, CVE-2022-28042.
Plus de précisions :

Plusieurs vulnérabilités ont été corrigées dans la bibliothèque libstb.

  • CVE-2018-16981

    Dépassement de tampon de tas dans stbi__out_gif_code().

  • CVE-2019-13217

    Dépassement de tampon de tas dans start_decoder() de Vorbis.

  • CVE-2019-13218

    Division par zéro dans predict_point() de Vorbis .

  • CVE-2019-13219

    Déréférencement de pointeur NULL dans get_window() de Vorbis .

  • CVE-2019-13220

    Variables de pile non initialisées dans start_decoder() de Vorbis.

  • CVE-2019-13221

    Dépassement de tampon dans compute_codewords() de Vorbis.

  • CVE-2019-13222

    Lecture hors limites dans le tampon global de draw_line() de Vorbis.

  • CVE-2019-13223

    Assertion accessible dans lookup1_values() de Vorbis.

  • CVE-2021-28021

    Dépassement de tampon dans stbi__extend_receive() de Vorbis.

  • CVE-2021-37789

    Dépassement de tampon de tas dans stbi__jpeg_load().

  • CVE-2021-42715

    Le chargeur HDR analysait des lignes de balayage RLE sans fins de ligne comme une séquence infinie de séquences de longueur zéro.

  • CVE-2022-28041

    Dépassement d'entier dans stbi__jpeg_decode_block_prog_dc().

  • CVE-2022-28042

    Utilisation de mémoire après libération basée sur le tas dans stbi__jpeg_huff_decode().

Pour Debian 10 Buster, ces problèmes ont été corrigés dans la version 0.0~git20180212.15.e6afb9c-1+deb10u1.

Nous vous recommandons de mettre à jour vos paquets libstb.

Pour disposer d'un état détaillé sur la sécurité de libstb, veuillez consulter sa page de suivi de sécurité à l'adresse : https://security-tracker.debian.org/tracker/libstb.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.