S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 24 juillet 2009
N° CERTA-2009-AVI-288
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Multiples vulnérabilités de Common Data Format

Gestion du document

Référence CERTA-2009-AVI-288
Titre Multiples vulnérabilités de Common Data Format
Date de la première version24 juillet 2009
Date de la dernière version24 juillet 2009
Source(s) Bulletin de sécurité sur CDF de la NASA

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Déni de service à distance
  • Exécution de code arbitraire à distance

Systèmes affectés

CDF versions 3.2.4 et antérieures.

Résumé

Plusieurs vulnérabilités présentes dans le produit Common Data Format (CDF) permettent à un utilisateur distant de provoquer un déni de service ou d'exécuter du code arbitraire.

Description

Commin Data Format (CDF) est un logiciel en sources ouvertes fourni par la NASA pour manipuler les fichiers au format homonyme. CDF peut être utilisé avec des logiciels comme MatLab pour des opérations particulières.

Deux vulnérabilités sont présentes dans le logiciel CDF. Elles sont relatives à plusieurs fonctions comme ReadAEDRList64(), SearchForRecord_r_64(), LastRecord64() ou CDFsel64(). Ces failles permettent à un utilisateur distant de provoquer un déni de service ou d'exécuter du code arbitraire via un fichier CDF particulier.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

La version 3.3 de CDF corrige le problème :

ftp://cdaweb.gsfc.nasa.gov/pub/cdf/dist/latest-release2

Documentation

Gestion détaillée du document

    le 24 juillet 2009
    version initiale.