S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 27 mars 2007 No CERTA-2007-AVI-135-001

Affaire suivie par :

CERTA

Objet : Vulnérabilités dans libwpd

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Exécution de code arbitraire à distance.

2 Systèmes affectés

libwpd versions 0.8.8 et antérieures.

3 Résumé

Plusieurs vulnérabilités dans libwpd permettent l'exécution de code arbitraire à distance.

4 Description

libwpd est une bibliothèque C++ qui permet le traitement des documents WordPerfect. Elle est utilisée notamment par OpenOffice depuis la version 2.0, par KOffice depuis la version 1.4 et par AbiWord depuis la version 2.2.

Plusieurs vulnérabilités ont été découvertes dans libwpd. Un attaquant peut, par le biais d'un document WordPerfect spécifiquement constitué, exécuter du code arbitraire à distance.

5 Solution

Mettre à jour libwpd en version 0.8.9.

6 Documentation

• Site de libwpd :

  http://libwpd.sourceforge.net/
  

• Bulletin de sécurité Debian DSA-1268 du 17 mars 2007 :

  http://www.debian.org/security/2007/dsa-1268
  

• Bulletin de sécurité Debian DSA-1270 du 20 mars 2007 :

  http://www.debian.org/security/2007/dsa-1270
  

• Bulletin de sécurité SuSE SUSE-SA:2007:023 du 21 mars 2007 :

  http://lists.suse.com/archive/suse-security-announce/2007-Mar/0007.html
  

• Bulletin de sécurité Ubuntu USN-437-1 du 19 mars 2007 :

  http://www.ubuntu.com/usn/usn-437-1
  

• Référence CVE CVE-2007-0002 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-0002
  

Gestion détaillée du document

21 mars 2007

version initiale.

27 mars 2007

ajout des références aux bulletins de sécurité Debian, SuSE, Ubuntu.