Vulnérabilités dans le lecteur de documents Xreader, développé par le projet Linux Mint.

Deux vulnérabilités ont été identifiées dans le programme de visualisation de documents Xreader, développé par les créateurs de la distribution Linux Mint, qui pourraient permettre l'exécution de code malveillant lors de l'ouverture de fichiers spécialement conçus aux formats EPUB et CBT. Les vulnérabilités ont été corrigées dans les mises à jour Xreader 4.0.0, 3.8.5, 3.6.6, 3.2.3 et 2.6.5.

Les vulnérabilités sont causées par des erreurs dans le code de parsing des formats EPUB et CBT. Dans le cas de EPUB, le problème (CVE-2023-44451) est lié à l'absence d'échappement approprié des caractères spéciaux («..\/») dans les paramètres utilisés pour générer le chemin d'accès au fichier pour l'extraction du contenu dans le répertoire des fichiers temporaires. Dans le cas de CBT, la vulnérabilité (CVE-2023-44452) est causée par l'utilisation de valeurs non nettoyées du fichier comme arguments lors de l'exécution de la commande externe intltool_merge à l'aide de la fonction system().

Source : opennet.ru