S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 25 juin 2008 No CERTA-2008-AVI-314-001

Affaire suivie par :

CERTA

Objet : Multiples vulnérabilités dans FreeType

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Exécution de code arbitraire à distance.

2 Systèmes affectés

Bibliothèque FreeType versions 2.3.5 et antérieures.

3 Résumé

De multiples vulnérabilités permettant l'exécution de code arbitraire à distance ont été découvertes dans FreeType.

4 Description

De multiples vulnérabilités ont été découvertes dans la bibliothèque FreeType. Celles-ci concernent le traitement des fichiers aux formats PFB (Printer Font Binary) et TTF (TrueType Font). L'exploitation de ces vulnérabilités permet l'exécution de code arbitraire à distance.

5 Solution

Mettre à jour FreeType en version 2.3.6.

6 Documentation

• Notes de version 2.3.6 de FreeType :

  http://sourceforge.net/project/shownotes.php?release_id=605780
  

• Site de téléchargement de FreeType :

  http://freetype.sourceforge.net/download.html
  

• Bulletin de sécurité Sun #239006 du 18 juin 2008 :

  http://sunsolve.sun.com/search/document.do?assetkey=1-66-239006-1
  

• Référence CVE CVE-2008-1806 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1806
  

• Référence CVE CVE-2008-1807 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1807
  

• Référence CVE CVE-2008-1808 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1808
  

Gestion détaillée du document

13 juin 2008

version initiale.

25 juin 2008

ajout de la référence au bulletin de sécurité Sun.