Bulletin d'alerte Debian
DSA-1231-1 gnupg -- Plusieurs vulnérabilités
- Date du rapport :
- 9 décembre 2006
- Paquets concernés :
- gnupg
- Vulnérabilité :
- Oui
- Références dans la base de données de sécurité :
- Dans le système de suivi des bogues Debian : Bogue 401894, Bogue 401898, Bogue 401914.
Dans le dictionnaire CVE du Mitre : CVE-2006-6169, CVE-2006-6235. - Plus de précisions :
-
Plusieurs vulnérabilités à distance ont été découvertes dans GNU privacy guard, un remplaçant libre de PGP, cela peut conduire à l'exécution de code arbitraire. Le projet des expositions et vulnérabilités communes (CVE) identifie les problèmes suivants :
- CVE-2006-6169
Werner Koch a découvert qu'un débordement de mémoire tampon dans une fonction de vérification pouvait conduire à l'exécution de code arbitraire lors de l'utilisation interactive de gnupg.
- CVE-2006-6235
Tavis Ormandy a découvert qu'analyser un paquet OpenPGP conçu avec soin pouvait conduire à l'exécution de code arbitraire car un pointeur de fonction d'une structure interne peut être contrôlé par les routines de déchiffrement.
Pour la distribution stable (Sarge), ces problèmes ont été corrigés dans la version 1.4.1-1.sarge6.
Pour la prochaine distribution stable (Etch), ces problèmes ont été corrigés dans la version 1.4.6-1.
Pour la distribution instable (Sid), ces problèmes ont été corrigés dans la version 1.4.6-1.
Nous vous recommandons de mettre à jour vos paquets gnupg.
- CVE-2006-6169
- Corrigé dans :
-
Debian GNU/Linux 3.1 (sarge)
- Source :
- http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge6.dsc
- http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge6.diff.gz
- http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1.orig.tar.gz
- http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge6.diff.gz
- Alpha:
- http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge6_alpha.deb
- AMD64:
- http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge6_amd64.deb
- ARM:
- http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge6_arm.deb
- HPPA:
- http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge6_hppa.deb
- Intel IA-32:
- http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge6_i386.deb
- Intel IA-64:
- http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge6_ia64.deb
- Motorola 680x0:
- http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge6_m68k.deb
- Big endian MIPS:
- http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge6_mips.deb
- Little endian MIPS:
- http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge6_mipsel.deb
- PowerPC:
- http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge6_powerpc.deb
- IBM S/390:
- http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge6_s390.deb
- Sun Sparc:
- http://security.debian.org/pool/updates/main/g/gnupg/gnupg_1.4.1-1.sarge6_sparc.deb
Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.