Bulletin d'alerte Debian

DLA-1335-1 zsh -- Mise à jour de sécurité pour LTS

Date du rapport :
31 mars 2018
Paquets concernés :
zsh
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 894044, Bogue 894043.
Dans le dictionnaire CVE du Mitre : CVE-2018-1071, CVE-2018-1083.
Plus de précisions :

Plusieurs vulnérabilités de sécurité ont été découvertes dans Z shell.

  • CVE-2018-1071

    Dépassement de pile dans la fonction exec.c:hashcmd(). Un attaquant local pourrait exploiter cela pour provoquer un déni de service.

  • CVE-2018-1083

    Dépassement de tampon dans la fonction autocomplete de l’interpréteur. Un utilisateur local non privilégié peut créer un chemin de répertoire contrefait pour l'occasion qui pourrait aboutir à une exécution de code dans le contexte de l’utilisateur voulant autocompléter pour traverser le chemin sus-mentionné. Si l’utilisateur à des privilèges, cela conduit à une élévation des privilèges.

Pour Debian 7 Wheezy, ces problèmes ont été corrigés dans la version 4.3.17-1+deb7u2.

Nous vous recommandons de mettre à jour vos paquets zsh.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.