Avis du CERT-FR
Objet : Vulnérabilité dans Evolution
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Exécution de code arbitraire à distance
Systèmes affectés
- Les versions d'Evolution antérieures à 2.8.2.1 (comprise).
Description
Une vulnérabilité a été identifiée dans l'application bureautique Evolution, pouvant servir de client de messagerie, de carnet d'adresses ou de calendrier. Le fichier calendar/gui/e-cal-component-memo-preview.c met en œuvre une fonction nommée write_html() qui ne manipulerait pas correctement certaines chaînes de caractères.
Une personne malveillante pourrait ainsi, en incitant sa victime à ouvrir un « memo » spécialement conçu, exécuter du code arbitraire sur le système ayant une version vulnérable.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Avis de sécurité de Secunia Research 2007-44 du 21 mars 2007 :
http://secunia.com/secunia_research/2007-44/advisory/ -
Bulletin de sécurité Mandriva MDKSA-2007:070 du 27 mars 2007 :
http://www.mandriva.com/security/advisories?name=MDKSA-2007:070 -
Bulletin de sécurité Ubuntu USN-442-1 du 26 mars 2007 :
http://www.ubuntu.com/usn/usn-442-1 -
Site du projet Evolution :
http://www.gnome.org/projects/evolution/ -
Référence CVE CVE-2007-1002
https://www.cve.org/CVERecord?id=CVE-2007-1002
Gestion détaillée du document
| Date | Description |
|---|---|
| 28 mars 2007 | version initiale. |