S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 15 janvier 2004
N° CERTA-2004-AVI-007-002
Affaire suivie par: CERT-FR
le 15 janvier 2004

Avis du CERT-FR

Objet: Vulnérabilité dans kdepim

Gestion du document

Référence CERTA-2004-AVI-007-002
Titre Vulnérabilité dans kdepim
Date de la première version 15 janvier 2004
Date de la dernière version 12 mai 2004
Source(s) Avis de sécurité KDE 20040114-1
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Elévation de privilèges.

Systèmes affectés

Toutes les versions de kdepim incluses dans KDE en version antérieure à la version 3.1.5.

Résumé

Une vulnérabilité de kdepim dans la gestion des fichiers VCF permet à un utilisateur d'élever ses privilèges.

Description

kdepim (KDE Personal Information Management suite) est un ensemble d'applications permettant la gestion des messages electroniques, des tâches, des rendez-vous et des correspondants. Un débordement de mémoire local dans kdepim permet à un utilisateur mal intentionné, construisant habilement un fichier de type VCF, de réaliser une élévation de privilèges et d'exécuter du code arbitraire sur la machine victime.

Solution

Mettre à jour kdepim selon votre distribution (cf. section documentation).

Documentation

Gestion détaillée du document

    le 15 janvier 2004
    version initiale.
    le 07 avril 2004
    ajout du bulletin de sécurité Gentoo.
    le 12 mai 2004
    ajout référence au bulletin de sécurité de FreeBSD.