S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 10 novembre 2005
N° CERTA-2005-AVI-452-002
Affaire suivie par: CERT-FR
le 10 novembre 2005

Avis du CERT-FR

Objet: Vulnérabilité des clients de messagerie Sylpheed et Sylpheed-Claws

Gestion du document

Référence CERTA-2005-AVI-452-002
Titre Vulnérabilité des clients de messagerie Sylpheed et Sylpheed-Claws
Date de la première version 10 novembre 2005
Date de la dernière version 23 novembre 2005
Source(s) Aucune
Pièce(s) jointe(s)
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Exécution de code arbitraire à distance avec les privilèges de l'utilisateur courant.

Systèmes affectés

Tout système Unix ou Windows utilisant un client de messagerie :

  • Sylpheed antérieur aux versions stables 2.0.4 ou 1.0.6 et de développement 2.1.6,
  • Sylpheed-Claws en version antérieure à la 1.9.100.

Résumé

L'importation d'un carnet d'adresse au format d'échange LDIF (« Lightweight Directory Interchange Format ») malicieusement construit, présente un risque d'exécution de code arbitraire.

Description

Sylpheed et Sylpheed-Claws sont des clients de messagerie utilisant la boîte à outils graphique GTK+ et disponible sur Unix et Windows.

LDIF est un format de fichier texte permettant l'échange et la synchronisation de données entre serveurs d'annuaire LDAP. Ce format est donc employé pour l'échange de carnets d'adresses par certains clients de messagerie (Thunderbird, Evolution, Messenger, Outlook, Kmail,...).

Des erreurs dans le code de Sylpheed et Sylpheed-Claws induisent un risque d'exécution de code.

Solution

Mettre à jour les versions source :

  • Sylpheed versions stables 2.0.4 ou 1.0.6 au moins et version de développement 2.1.6 au moins,
  • Sylpheed-Claws version 1.9.100 au moins.
Ou se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 10 novembre 2005
    version initiale.
    le 21 novembre 2005
    ajout de la référence au bulletin de sécurité Gentoo.
    le 23 novembre 2005
    ajout des références aux bulletins de sécurité Debian DSA-906 et DSA-908.