Avis du CERT-FR
Objet : Vulnérabilité de Xpdf
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Exécution de code arbitraire
Systèmes affectés
Lecteur Xpdf de documents au format Portable Document Format (PDF).
D'autres applications utilisant une partie du code de Xpdf sont également vulnérables (Gpdf, kdegraphics, koffice, tetex, ...).
Résumé
Une vulnérabilité du lecteur Xpdf permet à un utilisateur mal intentionné d'exécuter du code arbitraire sur une machine vulnérable.
Description
Une vulnérabilité de type débordement de mémoire a été découverte dans la fonction Gfx::doImage.
Un utilisateur mal intentionné peut exploiter cette vulnérabilité par le biais d'un document au format PDF habilement construit. Il est alors possible d'exécuter du code arbitraire avec les privilèges de l'utilisateur ayant lancé le lecteur Xpdf.
Contournement provisoire
Ne lire que des documents au format PDF provenant d'une source de confiance.
Solution
Mettre à jour le lecteur Xpdf (cf. section Documentation).
Documentation
-
Bulletin de sécurité Debain DSA-619 du 30 décembre 2004 :
http://www.debian.org/security/2004/dsa-619 -
Bulletin de sécurité FreeBSD pour Xpdf du 23 décembre 2004 :
http://www.vuxml.org/freebsd/ -
Bulletin de sécurité Gentoo GLSA-200412-24 du 28 décembre 2004 :
http://www.gentoo/org/security/en/glsa/glsa-200412-24.xml -
Bulletin de sécurité Gentoo GLSA-200501-17 du 11 janvier 2005 :
http://www.gentoo/org/security/en/glsa/glsa-200501-17.xml -
Bulletin de sécurité Mandrake MDKSA-2004-161 pour Xpdf du 29 décembre 2004 :
http://www.mandrakesoft.com/security/advisories?name=MDKSA-2004:161 -
Bulletin de sécurité Mandrake MDKSA-2004-162 pour Gpdf du 29 décembre 2004 :
http://www.mandrakesoft.com/security/advisories?name=MDKSA-2004:162 -
Bulletin de sécurité Mandrake MDKSA-2004-163 pour kdegraphics du 29 décembre 2004 :
http://www.mandrakesoft.com/security/advisories?name=MDKSA-2004:163 -
Bulletin de sécurité Mandrake MDKSA-2004-165 pour koffice du 29 décembre 2004 :
http://www.mandrakesoft.com/security/advisories?name=MDKSA-2004:165 -
Bulletin de sécurité Mandrake MDKSA-2004-166 pour tetex du 29 décembre 2004 :
http://www.mandrakesoft.com/security/advisories?name=MDKSA-2004:166 -
Bulletin de sécurité OpenBSD pour Xpdf du 22 décembre 2004 :
http://www.vuxml.org/openbsd -
Bulletin de sécurité OpenBSD pour tetex du 25 décembre 2004 :
http://www.vuxml.org/openbsd -
Bulletin de sécurité RedHat RHSA-2005:018 du 12 janvier 2005 :
http://rhn.redhat.com/errata/RHSA-2005-018.html -
Bulletin de sécurité RedHat RHSA-2005:034 du 15 janvier 2005 :
http://rhn.redhat.com/errata/RHSA-2005-034.html -
Bulletin de sécurité RedHat RHSA-2005:066 du 15 janvier 2005 :
http://rhn.redhat.com/errata/RHSA-2005-066.html -
Bulletin de sécurité de iDefense du 21 décembre 2004 :
http://www.idefense.com/application/poi/display?id=172 -
Correctif pour le lecteur Xpdf :
ftp://ftp.foolabs.com/pub/xpdf/xpdf-3.00pl2.patch -
Site Internet du lecteur Xpdf :
http://www.foolabs.com/xpdf/
Gestion détaillée du document
| Date | Description |
|---|---|
| 30 décembre 2004 | version initiale. |
| 03 janvier 2005 | première révision : ajout des applications associées et ajout des avis Debian et Mandrake. |
| 12 janvier 2005 | ajout référence au bulletin de sécurité Gentoo GLSA 200501-17. |
| 14 janvier 2005 | ajout référence au bulletin de sécurité RedHat RHSA-2005:018. |
| 20 janvier 2005 | modification du lien vers le serveur de Foolabs. |
| 17 février 2005 | ajout des références aux bulletins de sécurité RedHat. |