Ubuntu et Debian, des correctifs débarquent pour colmater la faille « KDE »

Canonical et the project Debian viennent de publier des mises à jour de sécurité afin de résoudre une vulnérabilité. Elle concerne l’environnement de bureau KDE.

Il y a quelques semaines, la communauté KDE a apporté une solution concernant une faille de sécurité. Elle a été découverte par Dominik Penner. Ce problème affecte le composant KConfig. Son exploitation permet l’exécution d’un code malveillant au travers d’un fichier .desktop spécialement conçu via une archive ouverte par le gestionnaire de fichiers.

L’avis de sécurité de Debian précise

“Dominik Penner a découvert que KConfig prenait en charge une fonctionnalité permettant de définir l’exécution des commandes shell dans les fichiers .desktop. Si un utilisateur reçoit un fichier .desktop malformé (par exemple, s’il est incorporé à une archive téléchargée et qu’il est ouvert dans un navigateur de fichiers), des commandes arbitraires peuvent être exécutées.”

Suite à cette découverte des correctifs ont rapidement été proposés . Ils ont débarqué dans les différents référentiels de logiciels stables des distributions GNU / Linux les plus populaires.

Canonical et The Project Debian annoncent des correctifs.

The project Debian a publié un correctif de sécurité afin de colmater cette brèche (CVE-2019-14744) pour ses systèmes Debian 9 “Stretch” et Debian 10 « Buster ». Les utilisateurs sont invités à mettre à jour kconfig en versions 5.28.0-2 + ​​deb9u1 et 5.54.0-1 + deb10u1

De son côté Canonical vient de publier des versions mises à jour des packages kconfig et kde4libs afin de corriger cette vulnérabilité (CVE-2016-6232). Un patch est aussi proposé pour un souci de sécurité vieux de 3 ans. Il concerne une écriture possible via ../ dans un nom de fichier d’un fichier archive. Ces correctifs sont disponibles pour les systèmes d’exploitation Ubuntu 19.04 (Disco Dingo), Ubuntu 18.04 LTS (Bionic Beaver) et Ubuntu 16.04 LTS (Xenial Xerus). Cela comprend également les différentes variantes comme Kubuntu par exemple.

Canonical demande aux utilisateurs de KDE Plasma de mettre à jour leurs systèmes le plus rapidement possible.