Informations de sécurité / 2019 / Informations sur la sécurité -- DSA-4467-1 vim

Bulletin d'alerte Debian

DSA-4467-1 vim -- Mise à jour de sécurité

Date du rapport :

18 juin 2019

Paquets concernés :

vim

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2019-12735.

Plus de précisions :

L'utilisateur Arminius a découvert une vulnérabilité dans Vim, une version améliorée de l'éditeur Vi standard d'UNIX (Vi IMproved). Le Common vulnérabilités and exposures project identifie le problème suivant :

Les éditeurs fournissent généralement un moyen pour intégrer des commandes de configuration de l'éditeur (alias ligne de mode – « modeline ») qui sont exécutées dès qu'un fichier est ouvert, tandis que les commandes malfaisantes sont filtrées par un mécanisme de bac à sable. La commande source (utilisée pour inclure et exécuter un autre fichier) n'était pas filtrée, permettant l'exécution d'une commande shell avec un fichier soigneusement contrefait ouvert dans Vim.

Pour la distribution stable (Stretch), ce problème a été corrigé dans la version 2:8.0.0197-4+deb9u2.

Nous vous recommandons de mettre à jour vos paquets vim.

Pour disposer d'un état détaillé sur la sécurité de vim, veuillez consulter sa page de suivi de sécurité à l'adresse : https://security-tracker.debian.org/tracker/vim.