S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 15 octobre 2004
N° CERTA-2004-AVI-345
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Multiples vulnérabilités de Libtiff

Gestion du document

Référence CERTA-2004-AVI-345
Titre Multiples vulnérabilités de Libtiff
Date de la première version15 octobre 2004
Date de la dernière version06 décembre 2004
Source(s) Bulletin de sécurité GLSA 200410-11 de Gentoo
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Déni de service
  • Exécution de code arbitraire à distance

Systèmes affectés

Libtiff v3.6.1 et versions antérieures.

Le paquetage wxGTK2 et la bibliothèque PDFlib réutilisant du code de libtiff sont également vulnérables.

Description

Le paquetage Libtiff comprend une bibliothèque et un ensemble d'outils pour le traitement des images au format TIFF (Tag Image File Format).

De multiples vulnérabilités de type débordement de mémoire sont présentes dans la bibliothèque Libtiff.

Ces vulnérabilités peuvent être exploitées par un utilisateur mal intentionné afin de réaliser un déni de service ou exécuter du code arbitraire sur le système vulnérable.

Solution

Se référer aux bulletins de sécurité de l'éditeur (cf. section Documentation) pour l'obtention des correctifs.

Documentation

Gestion détaillée du document

    le 15 octobre 2004
    version initiale.
    le 18 octobre 2004
    ajout référence au bulletin de sécurité DSA-567 de Debian. Ajout référence CVE CAN-2004-0804.
    le 20 octobre 2004
    ajout référence au bulletin de sécurité MDKSA-2004:109 de Mandrake.
    le 22 octobre 2004
    ajout référence au bulletin de sécurité MDKSA-2004:111 de Mandrake relatif à wxGTK2.
    le 25 octobre 2004
    ajout référence au bulletin de sécurité de Red Hat. Ajout référence à la vulnérabilité CAN-2004-0929 ainsi qu'aux documents associés (bulletin SUSE-SA:2004:038 et bulletin d'iDEFENSE).
    le 06 décembre 2004
    ajout référence au bulletin de sécurité d'Apple. Ajout référence à la PDFlib ainsi qu'au bulletin GLSA-200412-02.