S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 10 octobre 2005
N° CERTA-2005-AVI-387
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilité dans Dia

Gestion du document

Référence CERTA-2005-AVI-387
Titre Vulnérabilité dans Dia
Date de la première version10 octobre 2005
Date de la dernière version10 octobre 2005
Source(s) Bulletin de sécurité Ubuntu USN-193-1 du 04 octobre 2005
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de code arbitraire à distance

Systèmes affectés

Dia versions 0.94 et antérieures.

Résumé

Une vulnérabilité dans Dia permet à un utilisateur mal intentionné d'exécuter du code arbitraire à distance.

Description

Dia est un outil de création de schémas vectoriels. Il dispose d'un module développé en Python mettant en œuvre le support des fichiers de type SVG (Scalable Vector Graphics). Un manque de contrôle des données fournies à ce module permet à un utilisateur distant mal intentionné d'exécuter du script arbitraire en Python par le biais d'un fichier SVG malicieusement construit.

Solution

Se référer aux bulletins de sécurité des éditeurs pour l'obtention de correctifs (cf. Documentation).

Documentation

Gestion détaillée du document

    le 10 octobre 2005
    version initiale.