Avis du CERT-FR

Json

Objet : Multiples vulnérabilités dans libpng

Gestion du document

Référence	CERTA-2007-AVI-425
Titre	Multiples vulnérabilités dans libpng
Date de la première version	08 octobre 2007
Date de la dernière version	08 novembre 2007
Source(s)	Annonce sur le site officiel du projet libpng

Une gestion de version détaillée se trouve à la fin de ce document.

libpng versions 1.2.21 et versions antérieures.

De multiples vulnérabilités découvertes dans libpng permettent à un utilisateur malveillant d'effectuer un déni de service à distance.

Plusieurs vulnérabilités affectent la librairie libpng :

une erreur dans la fonction de manipulation de profil peut être exploitée afin de provoquer un dysfonctionnement de l'application utilisant cette bibliothèque ;
une erreur lors d'une mauvaise utilisation de la fonction sizeof() permet d'engendrer un dysfonctionnement de l'application utilisant cette bibliothèque ;
des erreurs dans les opérations mal contrôlées d'écriture de plusieurs fonctions peuvent être exploitées pour obtenir un dysfontionnement de l'application utilisant cette bibliothèque.

Se référer au bulletin de sécurité sur le site du projet pour l'obtention des correctifs (cf. section Documentation).

Bulletin de sécurité Gentoo GLSA-200711-08 du 07 novembre 2007 :
http://www.gentoo.org/security/en/glsa/glsa-200711-08.xml
Bulletin de sécurité Red Hat RHSA-2007:0992 du 23 octobre 2007 :
http://rhn.redhat.com/errata/RHSA-2007-0992.html
Bulletin de sécurité Ubuntu USN-538-1 du 25 octobre 2007 :
http://www.ubuntu.com/usn/usn-538-1
Le site officiel du projet libpng :
http://www.libpng.org/pub/png/libpng.html
Référence CVE CVE-2007-5266
https://www.cve.org/CVERecord?id=CVE-2007-5266
Référence CVE CVE-2007-5268
https://www.cve.org/CVERecord?id=CVE-2007-5268
Référence CVE CVE-2007-5269
https://www.cve.org/CVERecord?id=CVE-2007-5269

Date	Description
08 octobre 2007	version initiale.
07 novembre 2007	ajout des références CVE et des références aux bulletins de sécurité Ubuntu et Red Hat.
08 novembre 2007	ajout d'une référence CVE et de la référence au bulletin de sécurité Gentoo.