S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 04 mars 2011 No CERTA-2011-AVI-135

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans LibTIFF

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Exécution de code arbitraire à distance.

2 Systèmes affectés

• LibTIFF version 3.9.4.

3 Résumé

Une vulnérabilité dans la bibliothèque LibTIFF permet à un attaquant d'exécuter du code arbitraire à distance.

4 Description

Une erreur dans l'analyse des images au format TIFF compressées avec l'algorithme CCITT Group 4 peut être exploitée par une personne malveillante pour exécuter du code arbitraire à distance, via un débordement de tampon sur le tas.

5 Solution

Se référer au bulletin de sécurité des différents éditeurs pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Bulletin de sécurité Apple HT4554 du 02 mars 2011 :

  http://docs.info.apple.com/article.html?artnum=HT4554
  

• Bulletin de sécurité RedHat RHSA-2011:0318 du 02 mars 2011 :

  http://rhn.redhat.com/errata/RHSA-2011-0318.html
  

• Référence CVE CVE-2011-0192 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-0192
  

Gestion détaillée du document

04 mars 2011

version initiale.