S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 28 mars 2007 No CERTA-2007-AVI-145-001

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans Evolution

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Exécution de code arbitraire à distance.

2 Systèmes affectés

• Les versions d'Evolution antérieures à 2.8.2.1 (comprise).

3 Description

Une vulnérabilité a été identifiée dans l'application bureautique Evolution, pouvant servir de client de messagerie, de carnet d'adresses ou de calendrier. Le fichier calendar/gui/e-cal-component-memo-preview.c met en œuvre une fonction nommée write_html() qui ne manipulerait pas correctement certaines chaînes de caractères.

Une personne malveillante pourrait ainsi, en incitant sa victime à ouvrir un « memo » spécialement conçu, exécuter du code arbitraire sur le système ayant une version vulnérable.

4 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

5 Documentation

• Avis de sécurité de Secunia Research 2007-44 du 21 mars 2007 :

  http://secunia.com/secunia_research/2007-44/advisory/
  

• Site du projet Evolution :

  http://www.gnome.org/projects/evolution/
  

• Bulletin de sécurité Ubuntu USN-442-1 du 26 mars 2007 :

  http://www.ubuntu.com/usn/usn-442-1
  

• Bulletin de sécurité Mandriva MDKSA-2007:070 du 27 mars 2007 :

  http://www.mandriva.com/security/advisories?name=MDKSA-2007:070
  

• Référence CVE CVE-2007-1002 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-1002
  

Gestion détaillée du document

28 mars 2007

version initiale.