Bulletin d'alerte Debian
DSA-4467-1 vim -- Mise à jour de sécurité
- Date du rapport :
- 18 juin 2019
- Paquets concernés :
- vim
- Vulnérabilité :
- Oui
- Références dans la base de données de sécurité :
- Dans le dictionnaire CVE du Mitre : CVE-2019-12735.
- Plus de précisions :
-
L'utilisateur
Arminius
a découvert une vulnérabilité dans Vim, une version améliorée de l'éditeur Vi standard d'UNIX (Vi IMproved). LeCommon vulnérabilités and exposures project
identifie le problème suivant :Les éditeurs fournissent généralement un moyen pour intégrer des commandes de configuration de l'éditeur (alias ligne de mode – « modeline ») qui sont exécutées dès qu'un fichier est ouvert, tandis que les commandes malfaisantes sont filtrées par un mécanisme de bac à sable. La commande
source
(utilisée pour inclure et exécuter un autre fichier) n'était pas filtrée, permettant l'exécution d'une commande shell avec un fichier soigneusement contrefait ouvert dans Vim.Pour la distribution stable (Stretch), ce problème a été corrigé dans la version 2:8.0.0197-4+deb9u2.
Nous vous recommandons de mettre à jour vos paquets vim.
Pour disposer d'un état détaillé sur la sécurité de vim, veuillez consulter sa page de suivi de sécurité à l'adresse : https://security-tracker.debian.org/tracker/vim.