Avis du CERT-FR
Objet : Vulnérabilité dans mpg123
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Exécution de code arbitraire
Systèmes affectés
mpg123 versions antérieures à la version 0.59.
Résumé
Une vulnérabilité présente dans mpg123 permet à un utilisateur mal intentionné d'exécuter du code arbitraire sur le système utilisant une version vulnérable du lecteur.
Description
Un débordement de mémoire est présent dans la fonction chargée du traitement des listes de fichiers audio du lecteur audio mpg123.
Un utilisateur mal intentionné peut exploiter cette vulnérabilité, via des listes de fichiers audio malicieusement construites, pour exécuter du code arbitraire sur le système ayant un lecteur vulnérable.
Contournement provisoire
Ne pas utiliser les listes de fichiers audio sur le lecteur mpg123.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section documentation).
Documentation
-
Bulletin de sécurité Gentoo
http://www.gentoo.org/security/en/glsa/glsa-200412-22.xml -
Bulletin de sécurité FreeBSD "mpg123 - playlist processing buffer overflow vulnerability" du 03 janvier 2005 :
http://www.vuxml.org/freebsd/
Gestion détaillée du document
| Date | Description |
|---|---|
| 22 décembre 2004 | version initiale. |
| 04 janvier 2005 | Ajout référence au bulletin de sécurité de FreeBSD. Correction erreur typo. dans le titre. |