Publié le 04-09-2008 23:09 sur la mailing-list Bugtraq

Pub : CA Anti-Spyware 2007 - Les logiciels espions sont notre cible avant que vous ne deveniez la leur!

clamav: Crash with crafted chm, CVE-2008-1389

References

http://cve.mitre.org/cgi-bin/cvename.cgi?name=3DCVE-2008-1389
http://int21.de/cve/CVE-2008-1389-clamav-chd.html
http://www.int21.de/cve/cve-2008-1389-samples.tar.bz2
https://wwws.clamav.net/bugzilla/show_bug.cgi?id=3D1089

Description

A fuzzing test showed weakness in the chm parser of clamav, which can possi=
bly=20
be exploited.
The clamav team has disabled the chm module in older versions though freshc=
lam=20
updates and has released 0.94 with a fixed parser.

The clamav team has not mentioned this issue in the release notes of 0.94,=
=20
which is very bad security behaviour.

Disclosure Timeline

2008-07-09: clamav bug opened
unknown date: clamav disables chm-parser through freshclam
2008-09-02 Vendor releases 0.94
2008-09-04 Released this advisory

CVE Information

The Common Vulnerabilities and Exposures (CVE) project has assigned the nam=
e=20
CVE-2008-1389 to this issue. This is a candidate for inclusion in the CVE=20
list (http://cve.mitre.org/), which standardizes names for security problem=
s.

Credits and copyright

This vulnerability was discovered by Hanno Boeck of schokokeks.org webhosti=
ng.=20
It's licensed under the creative commons attribution license.

Hanno Boeck, 2008-09-04, http://www.hboeck.de

=2D-=20
Hanno B=C3=B6ck Blog: http://www.hboeck.de/
GPG: 3DBD3B20 Jabber/Mail: hanno@hboeck.de

États généraux : les masques tombent

Le syndicat national des journalistes communique : Les patrons de presse piaffent de plus en plus devant la cheminée où ils ont déposé leurs gros sabots.

Wizzgo vs NouvelObs : Deux poids deux mesures

L´application stricte de la loi DADVSI à l´encontre de Wizzgo. Le Nouvel Observateur va t il être aussi condamné à 480.000 euros d'amende ?

Alliance du mouvement de la jeunesse sur Internet

Les réseaux internet dédiés aux adolescents vont être utilisés pour combattre le crime et le terrorisme.

Jugement de plusieurs pirates de cartes bancaires

Deux anciens légionnaires, des chomeurs, un étudiant, un électricien et un agronome jugés dans une vaste fraude à la carte bancaire dans le sud de la France.

Trois nouvelles taxes pour l'Internet Français

Afin de trouver l´argent qui est censé faire survivre la télévision publique française, trois nouvelles taxes risquent d´arriver sur l'Internet hexagonal.

Clés USB: le Père-Noël est une ordure ?

Méfiez-vous des clés USB que vous allez acquérir pour Noël. Même le Pentagone Américain conseille de ne pas introduire ce genre de matériel dans son ordinateur.

Riposte graduée : Albanel délire

Comment rire avec Christine Albanel ? En l'écoutant expliquer que le retrait de l´amendement 138 était une - très bonne nouvelle -.

Un microcontrôleur pour cartes d´identité sécurisées

Le ST23YR80, un microcontrôleur équipé d'une technologies de cryptographie et d´une capacité de mémoire accrue pour le stockage des données biométriques.