Bulletin d'alerte Debian

DSA-4016-1 irssi -- Mise à jour de sécurité

Date du rapport :
3 novembre 2017
Paquets concernés :
irssi
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 867598, Bogue 879521.
Dans le dictionnaire CVE du Mitre : CVE-2017-10965, CVE-2017-10966, CVE-2017-15227, CVE-2017-15228, CVE-2017-15721, CVE-2017-15722, CVE-2017-15723.
Plus de précisions :

Plusieurs vulnérabilités ont été découvertes dans Irssi, un client IRC en mode terminal. Le projet « Common Vulnerabilities and Exposures » (CVE) identifie les problèmes suivants.

  • CVE-2017-10965

    Brian geeknik Carpenter de Geeknik Labs a découvert que Irssi ne gère pas correctement la réception de messages avec des estampilles temporelles non valables. Un serveur IRC malveillant peut tirer avantage de ce défaut pour provoquer le plantage de Irssi, avec pour conséquence un déni de service.

  • CVE-2017-10966

    Brian geeknik Carpenter de Geeknik Labs a découvert que Irssi est vulnérable à un défaut d'utilisation de mémoire après libération déclenchée lors de la mise à jour de la liste interne de pseudonymes. Un serveur IRC malveillant peut tirer avantage de ce défaut pour provoquer le plantage de Irssi, avec pour conséquence un déni de service.

  • CVE-2017-15227

    Joseph Bisch a découvert que lors de l'attente de la synchronisation de canal, Irssi peut, indûment, négliger de retirer les canaux supprimés de la liste de requêtes, avec pour conséquence des conditions d'utilisation de mémoire après libération lors de la mise à jour ultérieure de l'état. Un serveur IRC malveillant peut tirer avantage de ce défaut pour provoquer le plantage de Irssi, avec pour conséquence un déni de service.

  • CVE-2017-15228

    Hanno Boeck a signalé que Irssi ne gère pas correctement l'installation de thèmes avec des séquences de formatage de couleur sans terminaison, menant à un déni de service si un utilisateur est piégé dans l'installation d'un thème contrefait pour l'occasion.

  • CVE-2017-15721

    Joseph Bisch a découvert que Irssi ne gère pas correctement des messages DCC CTCP incorrectement formatés. Un attaquant distant peut tirer avantage de ce défaut pour provoquer le plantage de Irssi, avec pour conséquence un déni de service.

  • CVE-2017-15722

    Joseph Bisch a découvert que Irssi ne vérifie pas correctement les identifiants de canal sûr (« Safe channel »). Un serveur IRC malveillant peut tirer avantage de ce défaut pour provoquer le plantage de Irssi, avec pour conséquence un déni de service.

  • CVE-2017-15723

    Joseph Bisch a signalé que Irssi ne gère pas correctement les cibles ou les pseudonymes trop longs avec pour conséquence un déréférencement de pointeur NULL lors du découpage du message et menant à un déni de service.

Pour la distribution oldstable (Jessie), ces problèmes ont été corrigés dans la version 0.8.17-1+deb8u5.

Pour la distribution stable (Stretch), ces problèmes ont été corrigés dans la version 1.0.2-1+deb9u3. CVE-2017-10965 et CVE-2017-10966 ont déjà été corrigés dans une version intermédiaire précédente.

Nous vous recommandons de mettre à jour vos paquets irssi.