jeudi 10 avril
April | Agenda du libre | Framasoft | Léa-Linux | Lolix | JeSuisLibre | O'Reilly | Eyrolles | LinuxMag | Veni, Vidi, Libri | InLibroVeritas | LinuxGraphic
Faire un don ! | | style | statistiques | contactez-nous | plan | lettre d'information
Accueil :: Dépêches :: Archives :: Proposer une dépêche :: Journaux :: Forums :: Astuces :: Suivi :: RDF

Liens connexes

Dépêche modérée par

Dépêche éditée par

Internet : Failles de sécurité dans la libpng

Posté par Spack (). Modéré le 09 août 2004.
Sécurité
Des failles de sécurité ont été découvertes dans la bibliothèque de gestion d'images libre libpng (PNG portable network graphics).

Ces failles permettent à quelqu'un de mal intentionné d'exécuter du code à distance sur les systèmes Windows, MacOS et Linux.
Les vulnérabilités ont été détectées au niveau de la libpng dans un module où diverses applications piochent les ressources pour décoder les images au format PNG. En créant une image piégée et en la plaçant dans un site Internet ou dans un courriel, celles-ci permettent d'exécuter du code à distance en créant un « buffer overflow » (dépassement de mémoire tampon).
Le Cert-IST a émis le 5 août un avis non public, avec un indice de dangerosité « moyen ».

Des correctifs sont d'ores et déjà disponibles pour les distributions Linux et pour la suite Mozilla.

NdM : voir aussi les annonces sécurité Debian et Redhat.

> Lire la dépêche (30 commentaires, moyenne: 3,2).  

Cette discussion est archivée, il n'est plus possible de laisser des commentaires.

Note : les commentaires appartiennent à ceux qui les ont postés. Nous n'en sommes pas responsables.

Le buffer overflow n'est pas une fin en soi

Posté par Florent Rougon (page perso, ) le 09/08/2004 à 12:19. (lien). Évalué à 14.

Euh... "exécuter du code à distance afin de créer un « buffer overflow »" ? Nan, ce serait plutôt l'inverse. Le buffer overflow n'est pas une fin en soi...

Sinon, on écrit d'ores et déjà (avec un e à ores, donc).

Présomption d'innocence

Posté par Brice Arnould ( un_brice ) (page perso, ) le 09/08/2004 à 12:21. (lien). Évalué à 7.

Ces failles permettent à quelqu'un de mal intentionné d'exécuter du code à distance sur les systèmes Windows, MacOS et Linux.
C'est quoi ces à priori ? Ça se trouve il fait ça pour ton bien, médisant.

--
Respect à RMS.

Mauvaise pub

Posté par Juke (Jabber id, page perso, ) le 09/08/2004 à 12:43. (lien). Évalué à 1.

J'ai peur que les gens fassent un amalgame: PNG saiMal.

Esperons que non.

Le format PNG n'est pas dangereux..

Posté par Raphael R () le 09/08/2004 à 12:47. (lien). Évalué à 3.

.. car ici où la (heureusement pas sur DLFP) on peut lire que la faille touche le format PNG. Ce genre de "désinformation" volontaire ou pas (enfin je pencherais pas mal pour de l'incompetence) n'est pas franchement bon pour la promotion des formats ouverts et libres. Le PNG est un tres bon format (enfin une fusion avec le MNG serait la bienvenue) qui merite de se répandre...

Sinon, cette faille touche aussi les systemes BSD (mise à jour de la news?), car la libpng est très utilisées sur les divers systemes libres malgré le fait que dès vendredi matin j'avais mis les correctifs :) (ports rulez.)

nouvelle rubrique

Posté par warmup031 () le 09/08/2004 à 12:57. (lien). Évalué à 2.

une faille par ci, une faille par là, le libre c'est pas que la securité hein ???
<mode rêve >
Ce serait bien d'avoir une rubrique securité comme dans le bon vieux temps sous dacode...
</mode rêve>

...

Posté par itstimetogo () le 09/08/2004 à 13:04. (lien). Évalué à 7.

Si on passe toutes les news de sécurité, ça va être l'invasion.
Les trous de sécurité de la semaine dernière :
http://lwn.net/Articles/94604/(...)

Nombre : 24

patchage pour Debian Sarge et Sid

Posté par Krunch (Jabber id, page perso, ) le 09/08/2004 à 16:21. (lien). Évalué à 1.

Apparement Sarge et Sid ne sont pas encore patchés donc comme j'avais rien à faire je me suis demandé si ça serait dur à faire. Apparement non (pour Sarge):

$ apt-get source libpng3
Lecture des listes de paquets... Fait
Construction de l'arbre des dépendances... Fait
Nécessité de prendre 519ko dans les sources.
Réception de| : 1 http://ftp.debian.skynet.be(...) testing/main libpng3 1.2.5.0-6 (dsc) [635B]
Réception de| : 2 http://ftp.debian.skynet.be(...) testing/main libpng3 1.2.5.0-6 (tar) [506kB]
Réception de| : 3 http://ftp.debian.skynet.be(...) testing/main libpng3 1.2.5.0-6 (diff) [12,5kB]
519ko réceptionnés en 2s (245ko/s)
dpkg-source: extracting libpng3 in libpng3-1.2.5.0
$ cd libpng3-1.2.5.0/
$ wget -q -O - ftp://swrinde.nde.swri.edu/pub/png/src/libpng-1.2.5-all-patches.tx(...) | patch -p1
patching file png.h
patching file pngconf.h
patching file pngerror.c
Hunk #1 FAILED at 137.
1 out of 1 hunk FAILED -- saving rejects to file pngerror.c.rej
patching file pngpread.c
patching file pngread.c
patching file pngrtran.c
Hunk #3 succeeded at 1929 with fuzz 1 (offset -36 lines).
Hunk #4 FAILED at 1951.
1 out of 4 hunks FAILED -- saving rejects to file pngrtran.c.rej
patching file pngrutil.c
patching file pngset.c
$ vi pngrtran.c
        # go to line 1949 and change "* 3" into "* 6"
        # go to line 1950 and add "* 2" at the end of the line
$ dpkg-buildpackage -rfakeroot -us -uc
        # [...blablabla...compilation...]
Les mainteneurs Debian sont vraiment lents ou c'est moi qui ai oublié un truc fondamental quelque part ? Pour les rejets de patch, le premier ça avait déjà été fait par un patch Debian précédent (je suppose) et le deuxième s'appliquait pas parce qu'un commentaire a changé (mais suffit de l'appliquer manuellement).

--
Free Softwares Users Group Arlon (Sud Luxembourg, Belgique)
pertinent, e adj. Approprié ; qui se rapporte exactement à ce dont il est question.

"Les images open source ne sont pas infaillibles"

Posté par LeMagicien Garcimore () le 09/08/2004 à 17:00. (lien). Évalué à 4.

en passant par google news j'ai trouvé :

http://www.01net.com/article/249374.html(...)

"La Mozilla Foundation qui veille au bon développement de programmes tels que Firefox, Thunderbird, Mozilla ou Konqueror"

Première news...

Posté par Spack () le 09/08/2004 à 21:04. (lien). Évalué à 3.

C'était ma première news, j'ai essayé de faire de mon mieu même s'il y à quelques erreurs...Mais avant d'exeller il faut débuter...Et les débutants commettent toujours qq erreurs...

Donc désolé si j'ai choqué quelques un...

Revenir en haut de page

Run by Team LinuxFr

Cette page a été générée par Templeet en 0.1244s (dont 0.0131 de SQL).
Cette page est peut-être conforme xhtml 1.0.
Information sur le site.