Vine Linux バグトラッキングシステム - Vine Linux
課題の詳細を表示
IDプロジェクトカテゴリ公開登録日最終更新
0000394Vine Linux1 バグ公開2006-11-24 11:542006-12-21 22:27
報告者anonymous 
担当者security 
優先度中再現性不明 
状態完了解決状況不明 
バージョン 
修正予定バージョン修正済バージョン 
arch
パッケージlibpng10-1.0.15-0vl, libpng-1.2.12-0vl
概要0000394: Libpng security advisory 15 November 2006(CVE-2006-5793)
説明libpng-1.2.13(1.0.21 and 1.4.0beta14)がリリースされました。
security バグフィックスも含まれているようです。
# http://libpng.sourceforge.net/libpng-1.2.12-ADVISORY.txt [^]

内容(Vulnerability Warning)は, 以下のような感じです。
Overview:
 Versions 1.0.6 through 1.2.12 and 1.0.20 have a bug in the decoder
for the sPLT ("suggested palette") chunk; this can lead to crashes and,
accordingly, a denial of service (e.g., crashing your browser when you
visit a site displaying a specially crafted PNG). The bug is fixed in
libpng 1.2.13 and libpng 1.0.21, released 15 November 2006. CERT refers
to this bug as CVE-2006-5793.

The same releases also include fixes for a specific class of application
error (NULL png_ptr) and for a bug in the code that writes the iCCP
("ICC profile") chunk.
http://www.libpng.org/pub/png/libpng.html [^]

References:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-5793 [^]

Patch(view attachment):
http://bugs.gentoo.org/attachment.cgi?id=101400&action=view [^]
再現方法
追加情報
タグ設定されていません。
関連
添付ファイル
課題の履歴
変更日ユーザー名項目変更内容
2006-11-24 11:54anonymous新規課題
2006-11-25 02:12iwamotoバージョン3.2,VineSeed => 3.2,4.0,VineSeed
2006-11-25 02:12iwamotoコメント追加: 0002107
2006-11-25 14:49kazutaka担当者 => security
2006-11-25 14:49kazutaka状態新規 => 担当者決定
2006-11-25 14:49kazutakaコメント追加: 0002108
2006-12-05 10:06anonymousコメント追加: 0002109
2006-12-21 22:27kazutaka状態担当者決定 => 完了
2006-12-21 22:27kazutakaコメント追加: 0002110

コメント
(0002107)
iwamoto   
2006-11-25 02:12   
> libpng-1.2.13(1.0.21 and 1.4.0beta14)がリリースされました。
> security バグフィックスも含まれているようです。

ご指摘ありがとうございます。
既に security watch team でも把握していまして、
対策 package を作成、テストしているところです。

今後も、security issue がありましたらご報告して
いただけると助かります。
よろしくお願いします。
(0002108)
kazutaka   
2006-11-25 14:49   
> 既に security watch team でも把握していまして、
> 対策 package を作成、テストしているところです。

状態を割当済みに変更します。

もし元投稿者の方が今後も security 情報を
watch して頂けるようでしたら、是非
Security Watch Team に参加して頂けると
助かります。

http://security.vinelinux.org/ [^]
(0002109)
anonymous   
2006-12-05 10:06   
> もし元投稿者の方が今後も security 情報を
> watch して頂けるようでしたら、是非
> Security Watch Team に参加して頂けると
> 助かります。
元投稿者のものです。

お誘いありがとうございます。
(えんりょうさせてください。)

「Security Watch Team 」のポリシー(詳細)などを知らないのにお断りする
のも気がひけますが...
Vine Linuxの場合に、(漠然と持っている感想)
・Securityアラート(Updateパッケージ)の公開が若干遅いように感じる。(他のデストロとくらべて)
・Security Updateなど対応の過程が見えにくい。
　というような感想(改善点)を持っています。

Security Watch Teamに入るとなんとなく責任が重くなってしまうように感じる。
BTSでも、バグ(Security)報告は出来る。
＃むしろ、進捗状況がある程度わかるので良いのではないか。
＃(対応中なのに報告があるような、報告のデュプリケートはしょうがない。)
　ということで今後も出来る範囲でBTSに報告したいと思います。
(0002110)
kazutaka   
2006-12-21 22:27   
errata が発行されたので完了とします。