[INFO] Une faille 0-day dans la bibliothèque OpenJPEG aboutit à une exécution de code arbitraire

[INFO] Une faille 0-day dans la bibliothèque OpenJPEG aboutit à une exécution de code arbitraire

Comme chaque semaine, le CERT-XMCO vous partage une information ayant fait l’actualité durant la semaine écoulée. Nous vous proposons cette semaine de revenir sur la publication d’une vulnérabilité critique au sein de la bibliothèque OpenJPEG.


Description :

Des chercheurs de Cisco Talos ont découvert une faille « 0-day » dans la version 2.1.1 de la bibliothèque OpenJPEG, dont l’exploitation aboutit à l’exécution de code arbitraire à distance. La faille a été référencée CVE-2016-8332, un score CVSS de 7,5 lui a été associé.

La faille permet d’écrire des données sur le tas, en dehors de la zone allouée au programme. Celle-ci provient d’une erreur de décodage des enregistrements « MCC » d’un fichier jpeg2000. Un fichier malveillant spécifiquement conçu peut donc être utilisé afin de l’exploiter.

Le format d’image jpeg2000 est principalement utilisé par le format PDF, dont plusieurs lecteurs populaires utilisent la bibliothèque OpenJPEG. Les fichiers PDF peuvent donc constituer un vecteur d’attaque efficace pour exploiter cette vulnérabilité.


Références :

Référence CERT-XMCO :


Etienne Baudin

Consultant Cert-XMCO