Tom's Hardware > Actualités > 6 failles de sécurité dans une librairie PNG

6 failles de sécurité dans une librairie PNG

17:46 - mardi 10 août 2004 par Gaëtan Allart - source: PCinpact

Le format d’images PNG (Portable Network Graphics) qui est en train de s’imposer dans le monde de l’imagerie, en particulier pour les sites Internet, possède une librairie qui souffrirait de 6 failles assez importantes touchant tous les systèmes d’exploitation. Ce n'est pas le format en lui-même qui est touché mais la librairie libPNG incluse dans ce dernier.

Internet Explorer, Opera, Mozilla, Netscape, et le client Mail de Mac OS X sont concernés par ces failles qui peuvent engendrer des plantages intempestifs et donnent la possibilité à des personnes malintentionnées d’exécuter des programmes pendant le chargement des images.

Un patch est d’ores et déjà disponible pour corriger cette faille qui touche tout de même un très grand nombre d’internautes.

Télécharger le patch correctif

Commentaires

Ajouter un commentaire

cyrano 10/08/2004 17:50

Masquer

"Le format d’images PNG (Portable Network Graphics) qui est en train de s’imposer dans le monde de l’imagerie, en particulier pour les sites Internet, souffrirait de 6 failles"

Ben ouais mais c'est complètement faux !

C'est la libPNG qui est concerné. On ne dis pas que le format HTML souffre de failles de sécurité importantes à chaque nouvelle téchnique de spyware pour Internet Explorer, hein...

Roro2003 10/08/2004 17:58

Masquer

comment qu'on patche :??:

xam 10/08/2004 17:59

Masquer

Roro2003 a écrit :

comment qu'on patche :??:

Tu es utilisateurs windows =S tu attends que chaque logiciels fournisse un patch
Tu es utilisateurs linux => tu upgrade libpng

[:agug]

Roro2003 10/08/2004 18:00

Masquer

png+windows sapu alors [:grut]

xam 10/08/2004 18:10

Masquer

Roro2003 a écrit :

png+windows sapu alors [:grut]

Non c'est l'éternel débat des bibliothèque statique vs bibliothèque partagée.

sr17 10/08/2004 18:18

Masquer

xam a écrit :

Tu es utilisateurs windows =S tu attends que chaque logiciels fournisse un patch
Tu es utilisateurs linux => tu upgrade libpng

[:agug]

Exact

A noter d'ailleurs que de telles failles ont existé dans les autres toolkit de traitement d'image.

De ce point de vue, je n'ai jamais bien compris pour quelle raison Windows n'intégrait pas de service centralisé de gestion des images. Un manque évident.

Pourtant l'idée était déja utilisée dans AmigaOS.

moua 10/08/2004 18:34

Masquer

Tu sais c'est difficile de changer une chose que l'on a commencé.
Et il n'y a qu'a voir le simple SP2 : il pose des problèmes pour un bon nombre de programmes.
Et à chaque nouvelle version de windows c'est pareil, alors que les changements ne sont pas si grand.

Et puis MS se prendrais un procès antitrust à chaque nouvelle librairie qu'un concurrent vendais

Athropos 10/08/2004 18:36

Masquer

L'un des bugs corrigés dans la dernière version de Firefox est une de ces failles.

Ralph- 10/08/2004 18:37

Masquer

Hé hé, patch installé le Vendredi matin sur FreeBSD.. Quand je vois qu'il y a encore des distributions Linux qui n'ont toujours pas d'update.. :]

Pour Windows, et bien Firefox 0.9.3, Thunderbird 0.7.3 et Mozilla 1.7.2 corrigent pour leur utilisation les failles.

xam 10/08/2004 18:40

Masquer

Ralph- a écrit :

portaudit rulez.

Distrib linux qui n'ont pas d'update ? tu peux citer des noms ?

yoconono 10/08/2004 18:58

Masquer

barf c'est pas parce que pleins de sites relaient l'info avec 1 bonne semaine de délai que les distros ont pas proposés des patchs depuis longtemps

antp 10/08/2004 19:03

Masquer

Sr17 a écrit :

De ce point de vue, je n'ai jamais bien compris pour quelle raison Windows n'intégrait pas de service centralisé de gestion des images. Un manque évident.

Il y en a vaguement un (utilisé par Office et MS Paint entre autres), mais à mon avis les softs préfèrent utiliser le leur, et je les comprends

Sinon au sujet de la faille, c'est en effet pas le format qui est en cause mais juste la libPNG. Un soft fait en Delphi utilisant TPNGImage par exemple n'est pas touché je suppose.

sr17 10/08/2004 19:13

Masquer

Citation :

antp a écrit :

Il y en a vaguement un (utilisé par Office et MS Paint entre autres), mais à mon avis les softs préfèrent utiliser le leur, et je les comprends

Effectivement, j'utilise pas leurs trucs tout pouris. Et comme tu dit, heureusement.

Bon, du coup va falloir que j'aille recompiler moi... :whistle:

Sinon, dans AmigaOS il y avait un vrai système de gestion des "datatypes" centralisé. Il suffit de rajouter un module dans le système pour rajouter un datatype.
D'ailleurs ce qui est amusant c'est que ce système existe pour les vidéo avec les codecs. Mais il aurait pu être plus pratique et être utilisé aussi pour les types graphiques.

Dans AmigaOS, le principe avait même été étendu aux algos de compression.

Citation :Sinon au sujet de la faille, c'est en effet pas le format qui est en cause mais juste la libPNG.

Exact. Mais le problème c'est qu'on ignore jusqu'a quel point cette bibliothèque n'est pas derrière la plupart des lecteurs PNG aussi bien sur Linux que sous Windows.

Citation :Un soft fait en Delphi utilisant TPNGImage par exemple n'est pas touché je suppose.

Oui, a condition toutefois que cet objet ne repose pas sur ce lecteur PNG. Mais c'est possible que ça ne soit effectivement pas le cas.

xam 10/08/2004 19:39

Masquer

Sr17 a écrit :

Citation :

Exact. Mais le problème c'est qu'on ignore jusqu'a quel point cette bibliothèque n'est pas derrière la plupart des lecteurs PNG aussi bien sur Linux que sous Windows.

Oui mais sous linux tu ne fais l'upgrade/patch de libpng qu'une fois, puisque la lib est partagé, non ?

roger_that 10/08/2004 19:51

Masquer

Gaetan A a écrit :

Ce n'est pas le format en lui-même qui est touché mais la librairie libPNG

On ne dit pas librarie mais bibliothèque, ou au pire library qui est le mot anglais (et avec l'accent alors).

sr17 10/08/2004 20:28

Masquer

roger_that a écrit :

On ne dit pas librarie mais bibliothèque, ou au pire library qui est le mot anglais (et avec l'accent alors).

Oui, le nom "librairie" est incorrect. En anglais on dit "library" mais c'est un faux ami car il ne se traduit pas par "librairie" mais par bibliothèque.

Mais bon, c'est vrai que les programmeurs sont souvent peu a cheval sur la façon de parler du moment qu'on se comprends. Et cette erreur est courante alors je pense qu'on peut lui pardonner et remettre son écorchage avec des tessons de bouteille suivie d'une sodo-gravier-limaille de zinc à un autre jour.

antp 10/08/2004 21:24

Masquer

Sr17 a écrit :

Oui, a condition toutefois que cet objet ne repose pas sur ce lecteur PNG. Mais c'est possible que ça ne soit effectivement pas le cas.

Au début je pensais que ça se basait sur libPNG, mais ça semble être du code 100% Delphi & Assembleur. On ne peut pas lier un .lib dans du code Delphi, et comme aucune DLL n'est nécessaire j'imagine que ça n'inclut rien de la libPNG.

ikalimero 10/08/2004 23:37

Masquer

failles corriger depuis hier sur Mac OS X

cactux 11/08/2004 15:51

Masquer

Traduction :
library => bibliothèque, pas librairie !

Patch 11/08/2004 15:54

Masquer

t'as juste 20h de retard