Bulletin d'alerte Debian
DSA-4093-1 openocd -- Mise à jour de sécurité
- Date du rapport :
- 21 janvier 2018
- Paquets concernés :
- openocd
- Vulnérabilité :
- Oui
- Références dans la base de données de sécurité :
- Dans le système de suivi des bogues Debian : Bogue 887488.
Dans le dictionnaire CVE du Mitre : CVE-2018-5704. - Plus de précisions :
-
Josef Gajdusek a découvert qu'OpenOCD, un débogueur JTAG pour ARM et MIPS, était vulnérable à des attaques par script interprotocole(« Cross Protocol Scripting »). Un attaquant pourrait contrefaire une page HTML qui, lors de la visite d'une victime exécutant OpenOCD, pourrait exécuter des commandes arbitraires sur l'hôte des victimes.
Ce correctif définit également la liaison par défaut d'OpenOCD vers localhost, plutôt que vers chacune des interfaces réseau. Cela peut être modifié avec l'ajout du paramètre de commande
bindto
.Pour la distribution oldstable (Jessie), ce problème a été corrigé dans la version 0.8.0-4+deb7u1.
Pour la distribution stable (Stretch), ce problème a été corrigé dans la version 0.9.0-1+deb8u1.
Nous vous recommandons de mettre à jour vos paquets openocd.
Pour disposer d'un état détaillé sur la sécurité de openocd, veuillez consulter sa page de suivi de sécurité à l'adresse : https://security-tracker.debian.org/tracker/openocd