Рекомендация Debian по безопасности

DSA-2927-1 libxfont -- обновление безопасности

Дата сообщения:
13.05.2014
Затронутые пакеты:
libxfont
Уязвим:
Да
Ссылки на базы данных по безопасности:
В каталоге Mitre CVE: CVE-2014-0209, CVE-2014-0210, CVE-2014-0211.
Более подробная информация:

Илья ван Шпрудель из IOActive обнаружил несколько проблем безопасности в библиотеке libXfont из состава X.Org, которые могут позволить локальному авторизованному пользователю попытаться повысить свои привилегии; либо позволить удалённому пользователю, который может управлять сервером шрифтов, попытаться выполнить код с привилегиями X сервера.

  • CVE-2014-0209

    Переполнение целых чисел при грамматическом разборе файла метаданных шрифтов может позволить локальному пользователю, которые уже был авторизован X сервером, перезаписать другой участок динамической памяти.

  • CVE-2014-0210

    libxfont не проверяет длину полей при грамматическом разборе ответов протокола xfs, что позволяет производить запись за пределами выделенной памяти при сохранении возвращаемых от сервера шрифтов данных.

  • CVE-2014-0211

    Переполнение целых чисел при подсчёте необходимой памяти для ответов xfs может приводить к выделению слишком малого количества памяти и записи возвращаемых от сервера шрифтов данных за пределы выделенного буфера.

В предыдущем стабильном выпуске (squeeze) эти проблемы были исправлены в версии 1:1.4.1-5.

В стабильном выпуске (wheezy) эти проблемы были исправлены в версии 1:1.4.5-4.

В нестабильном выпуске (sid) эти проблемы были исправлены в версии 1:1.4.7-2.

Рекомендуется обновить пакеты libxfont.