Plusieurs vulnérabilités ont été découvertes dans NTFS-3G, un pilote de lecture et écriture NTFS pour FUSE. Un utilisateur local peut tirer avantage de ces défauts une élévation locale de privilèges administrateur.
Un code de retour non valable dans fuse_kern_mount permet l'interception du trafic du protocole libfuse-lite entre NTFS-3G et le noyau lors de l'utilisation de libfuse-lite.
Une image NTFS contrefaite peut provoquer une épuisement de tas dans ntfs_get_attribute_value.
Un gestionnaire de fichier créé dans fuse_lib_opendir puis utilisé dans fuse_lib_readdir permet des opérations de lecture et d'écriture de mémoire arbitraire lors de l'utilisation de libfuse-lite.
Une image NTFS contrefaite peut provoquer un dépassement de tas dans ntfs_names_full_collate.
Un dépassement d'entier par le bas dans fuse_lib_readdir permet des opérations de lecture de mémoire arbitraire lors de l'utilisation de libfuse-lite.
Une image NTFS contrefaite peut provoquer un dépassement de tas dans ntfs_mft_rec_alloc.
Une image NTFS contrefaite peut provoquer un dépassement de tas dans ntfs_check_log_client_array.
Pour Debian 9 Stretch
, ces problèmes ont été corrigés dans la
version 1:2016.2.22AR.1+dfsg-1+deb9u3.
Nous vous recommandons de mettre à jour vos paquets ntfs-3g.
Pour disposer d'un état détaillé sur la sécurité de ntfs-3g, veuillez consulter sa page de suivi de sécurité à l'adresse : \ https://security-tracker.debian.org/tracker/ntfs-3g.
Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.