Sécurité informatique

SECURINFOS.INFO - Bulletins de sécurité informatique, Alertes et Protection

PCRE : Vulnérabilités Diverses

06/11/2007 15H01
Référence Secunia : SA27543 
Date de publication : 2007-11-06

Risque : Moyennement Critique. Niveau 3 sur 5.
Impact : Exposition de données sensibles, DoS, Accès au système
Lieu : A distance


Solutions :
Correctif de l'éditeur


Produit :
PCRE 6.x
PCRE 7.x

Référence CVE :
CVE-2007-4768


Description :
Quelques vulnérabilités ont été identifiées dans PCRE, qui pourraient être exploitées par des personnes malintentionnées pour causer un Déni de Service (DoS), divulguer des informations sensibles, ou potentiellement compromettre une application utilisant la librairie.

1) Une erreur existe dans le traitement de "\Q\E" sequences avec orphan "\E" codes. Cela pourrait être exploité à desynchronize the compilé regular expression et exécuter corrupted bytecode.

2) Une erreur dans le traitement de plusieurs unspecified character classes pourrait être exploitée pour déclencher an insufficient mémoire allocation.

3) Une erreur existe dans le traitement de plusieurs "\X?\d" et "\P{L}?\d" patterns dans non-UTF-8 mode. Cela pourrait être exploité pour planter an affectée process ou de divulguer restreint memory.

4) Une erreur existe dans plusieurs unspecified routines en cherchant pour unmatched brackets ou parentheses. Cela pourrait être exploité pour planter une application affectée via une chaîne spécialement conçue.

5) Quelques erreurs de dépassement d'entier (integer overflow) lors du traitement des s&quences d'échappement pourrait être exploitée pour planter une application affectée ou potentiellement causer des débordements du tas.

6) Quelques erreurs existent dans le traitement de "\P" et "\P{x}" sequences. Cela pourrait être exploité pour entrainer des débordements du tas ou trigger l'exécution de boucles infinies.

7) Une erreur dans le optimization of character classes contenant a lone unicode sequence pourrait être exploitée pour causer un "heap overflow".

Les vulnérabilités sont rapportées en versions inférieures à 7.3.


Solutions :
Mettre à jour en version 7.3 ou supérieure.


Vulnérabilité découverte par :

Debian credits Tavis Ormandy, Google Security Team

Référence :
http://lists.debian.org/debian-security-announce/debian-security-announce-2007/msg00177.html




Veuillez noter : L'information sur laquelle ce bulletin de sécurité Secunia est basé provient d'un tiers sauf mention du contraire. Secunia collecte, valide, et vérifie tout les rapports de vulnérabilité issus de la recherche en sécurité de groupes, distributeurs ou autres.

Les noms, marques et enseignes cités sur ce site sont la propriété de leurs déposants respectifs.