Avis du CERT-FR

Json

Objet : Vulnérabilités dans libpango

Gestion du document

Référence CERTA-2011-AVI-129
Titre Vulnérabilités dans libpango
Date de la première version03 mars 2011
Date de la dernière version03 mars 2011
Source(s) Rapport de bug Gnome n°639882 du 18 janvier 2011
Rapport de bug Ubuntu n°696616 du 02 mars 2011

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Déni de service à distance
  • Exécution de code arbitraire à distance

Systèmes affectés

Libpango versions 1.28.3 et précédentes.

Résumé

Deux vulnérabilités ont été corrigées dans la bibliothèque libpango. Elles peuvent être exploitées pour réaliser un déni de service à distance, et dans certains cas exécuter du code à distance.

Description

Deux vulnérabilités affectent libpango. La première (CVE-2011-0020) permet à un attaquant de réaliser un déni de service en provoquant l'arrêt brutal d'une application utilisant cette bibliothèque à l'aide d'un fichier de police de caractères spécialement conçu. Le débordement de tampon sur le tas est à l'origine de l'arrêt, et pourrait être exploité pour exécuter du code à distance. La seconde (CVE-2011-0064) permet à une personne malveillante de provoquer l'arrêt brutal d'une application via un déréférencement de pointeur NULL, en lui passant des paramètres spécialement conçus. L'exécution de code arbitraire à distance est également possible.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

Date Description
03 mars 2011 version initiale.
Haut de page

Paramètres d'affichage

Choisissez un thème pour personnaliser l'apparence du site.