Multiples vulnérabilités dans Evince

Date de publication :

Plusieurs vulnérabilités ont été découvertes dans Evince, un logiciel de visualisation de documents pour l’environnement de bureau GNOME. Elles peuvent permettre à un attaquant local de provoquer un déni de service et une exécution de code arbitraire.

CVE-2017-1000159 [Score CVSS v3 : 7.8] : Une injection de commande via un nom de fichier est possible lors de l’exportation d’un document en PDF. Cette vulnérabilité affecte les versions d’Evince antérieures à la 3.25.91.

CVE-2019-1010006 [Score CVSS v3 : 7.8] : Une vulnérabilité de type dépassement de tampon dans le moteur TIFF (Tagged Image File Format) d’Evince a été découverte. Pour pouvoir exploiter cette vulnérabilité, un attaquant doit réussir à faire ouvrir un fichier PDF corrompu à une victime.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

    Déni de service
    Exécution de code arbitraire

Criticité

    Score CVSS v3 : 7.8

Existence d’un code d’exploitation

    Aucun code d’exploitation n’est actuellement disponible

Composants vulnérables

    Evince versions 3.26.0 et antérieures

CVE

    CVE-2017-1000159
    CVE-2019-101006

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Mettre à jour Evince vers une version non vulnérable

Solution de contournement

  • Aucune solution de contournement n’est disponible
     

Liens