S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 14 mars 2006
N° CERTA-2006-AVI-110
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilité dans Flex

Gestion du document

Référence CERTA-2006-AVI-110
Titre Vulnérabilité dans Flex
Date de la première version14 mars 2006
Date de la dernière version28 mars 2006
Source(s) Liste des mises à jour Freshmeat du 22 février 2006
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de code arbitraire à distance

Systèmes affectés

Flex versions 2.5.52 et antérieures.

Résumé

Une vulnérabilité dans Flex permet à un utilisateur mal intentionné d'exécuter du code arbitraire à distance.

Description

Flex est un outil libre permettant la création d'analyseurs lexicaux (parsers) en langage C. Il est utilisé dans de nombreux autres logiciels libres pour y faciliter la création d'analyseurs lexicaux.
Une erreur dans le fichier flex.skl permet à un utilisateur mal intentionné d'exécuter du code arbitraire à distance par le biais d'un analyseur lexical créé avec Flex et mettant en œuvre une grammaire comportant des règles utilisant la directive REJECT ou de type trailing context.

Solution

Se référer au bulletin de sécurité des éditeurs pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 14 mars 2006
    version initiale.
    le 28 mars 2006
    ajout de la référence au bulletin de sécurité Debian.