Bug

Csomag: htcheck

Sebezhetőség: cross site scripting

Probléma-típus: távoli

Debian-specifikus: nem



[ Újraküldve, mert ez a hibajegy nem jelent meg az archívumban.
Egyébként ez az igazi DSA 169-1.(Ezek után már vki csak azt mondja meg nekem, hogy a tomacskás hírnek mi a rendes hibajegy azonosítója - gyu) ]



Ulf Harnhammer fedezett fel egy problémát a ht://Check PHP interfészében. A PHP interfész ellenőrizetlen információt jelenít meg, ami akár férges külső webszerverektől is származhat. Ez a már jól ismert oldalközi szkripelhetőség problémáját okozhatja, ha valakinek felügyelete van azon webszerverek válaszai felett, ahonnan a ht://Check az infóit veszi.Ez a hiba javítva van a 1.1-1.1 verziójú csomagban az aktuális stabil terjesztéshez(woody), a 1.1-1.2 -es verziójú csomagban az unstable terjesztéshez (sid). A régebbi stabil terjesztés (potato) nem tartalmazza a htcheck csomagot.



A htcheck csomagok azonnali frissítését javasoljuk.

Martin Schultze levele a debian-security-announce listán.

A frissítésről szóló FAQ-nk.

Csomag: tkmail

Sebezhetőség: nembiztonságos tempfájl kezelés

Probléma típus: helyi

Debian-specifikus: nem



A tkmail-ben egy hibát találtak, mely szerint tempfájlokat nem biztonságos módon hoz létre.Kihasználva ezt a hibát, egy támadó, akinek helyi hozzáférése van, könnyen létrehozhat és felülírhat fájlokat más felhasználó nevében.
A probléma javítva van a 4.0beta9-8.1 verzióban, az aktuális stabil terjesztésben (woody), illetve a 4.0beta9-4.1 verzióban a régi stabil disztribúcióban (potato). és a 4.0beta9-9 verzióban az unstabil (sid) disztribúcióban.



Martin Schultze levele a debian-security-announce listán.

A frissítésről szóló FAQ-nk.

Csomag : tomcat4

Sebezhetőség : forráskód közlés

Probléma-Típusa: távoli

Debian-specifikus: nem

Biztonsági hibát találtak az összes Tomcat 4.x kiadásban. A hiba típusa távoli, jellege forráskód közzététel. Ez a hiba javítva van a 4.0.3-3woody1 csomagban (woody), a 4.1.12-1-es verziójú csomagban az unstable terjesztéshez (sid). A régebbi stabil terjesztés (potato) nem tartalmazza a Tomcat csomagokat. A Tomcat 3 csomagok nem sebezhetők ezzel a hibával.

Javasoljuk az érintett csomagok frissítését.


Martin Schultze levele a debian-security-announce listán.


A frissítésrõl szóló FAQ-nk.

Csomag : glibc

Sebezhetőség : 0-val való osztás

Probléma-Típusa : távoli

Debian-specifikus: nem

CVE Id : CAN-2002-0391

CERT advisory : VU#192995

Wolfram Gloger egy újabb hibát fedezett fel a Debian glibc-ben. A hiba típusa 0-val való osztás, puffer túlcsordulás. A hibát kihasználva a támadó root accounhoz juthat, ha azt a programot támadja amely ehhez a könyvtárhoz van linkelve.

A hiba javítva van a 2.2.5-11.2 verziójú csomagban a jelenlegi stabil terjesztéshez (woody), és a 2.1.3-24 verziójú csomagban a régebbi stabil verzióhoz (potato).

Javasoljuk a glibc csomagok frissítését.

Martin Schultze levele a debian-security-announce listán.

A frissítésrõl szóló FAQ-nk.

Csomag: PHP3, PHP4

Csomag: safe_mode figyelmen kívül hagyása, CRLF beszúrása

Probléma típus: távoli

Debian-specifikus: nem

CVE ID: CAN-2002-0985 CAN-2002-0986

BugTraq ID: 5681



Wojciech Purczynski rájött, hogy a scriptek meg tudják azt tenni, hogy tetszőleges szöveget adjanak át a sendmailnek a parancssor kiterjesztésével, amikor PHP-n keresztül küld levelet, még akkor is, amikor a safe_mode be van kapcsolva. Az 5. argmuentum átadásának tiltottnak kellene leni, amikor a PHP safe_mode -ra van konfigurálva, és ez áll is az újabb PHPkre, illetve az alábbi javított verziókra. Ez a hiba egyébként nem érinti a PHP3-at.Wojciech Purczynski találta ki azt is, hogy tetszőleges ASCII vezérlőkaraktereket lehet megadni a mail() függvény argumentumainak. Ha a mail () argumentumait a felhasználó bemenetéről veszi, megadja a felhasználónak a lehetőséget, hogy megváltoztassa a levél tartalmát, ideértve a levél fejlécét is.



Ulf Harnhammar fedezte fel, hogy a file() és fopen() hívások sebezhetők egy CRLF beszúrásával. Egy támadó felhasználhatja arra, hogy kikerüljön bizonyos megszorításokat és tetszőleges szöveget adjon az állítólagos HTTP kérésnek, ami így keresztül fog menni.



Egyébként az csak akkor történik meg ha valamit továbbíttunk ezeknek a függvényeknek ami nem lehet egy érvényes fájlnév sem egy érvényes URL. Bármilyen sztring ami vezérlőkaraktereket tartalmaz nem lehet érvényes URL. Mielőtt egy stringet átadunk egy függvénynek, aminek url-nek kéne lennie, előtte azt az urlencode()-al el kell kódolni.



Három problémát azonosítottak a PHP-ben:

1. A mail() függvény megenged tetszőleges email fejléc megadását, ha a fogadó címe vagy a levél 'subject' mezője CR/LF karaktereket tartalmaz.
2. A mail() függvény nem tiltja le megfelelőan a tetszőleges parancssori argumentumok átadását a sendmailnek, amikor a PHP Safe Mód-ban fut.
3. Az fopen() függvény, amikor egy URL-t fogadunk, megengedheti a kérés manipulációját ha az URL CR/LF karaktert tartalmaz. Például ha fejléceket lehet adni egy HTTP kéréshez.

Ezeket a problémákat a 3.0.18-23.1woody1 verzió javítja a PHP3 esetén és a 4.1.2-5 verzió a PHP4 esetén az aktuális stabil terjesztésben(woody), valamint a 3.0.18-0potato1.2 verzó a PHP3 esetén és a 4.0.3pl1-0potato4 verzió a PHP4 esetén a régi stabil terjesztésben (potato), és a 3.0.18-23.2 verzió a PHP3 esetén és a 4.2.3-3 verzió a PHP4 esetén az instabil terjesztésben (sid).



Javasoljuk a PHP csomagok frissítését.



Martin Schultze levele a debian-security-announce listán.

A frissítésrõl szóló FAQ-nk.

Csomag: openssl094, openssl095, openssl

Probléma típus: több távolról kihasználható hiba

Debian-specifikus: nem

CVE: CAN-2002-0655 CAN-2002-0656 CAN-2002-0657 CAN-2002-0659



Volt egy hiba az eredeti openssl094 csomagokban, ami miatt a biztonsági javítások nem voltak teljesértékűek. Ezt a hibát javítja a 0.9.4-6.potato.2 és a 0.9.4-6.woody.2 verzió. Javasoljuk, hogy azonnal frissítsd az openssl094 csomagjaid. Az i386 csomagok jelenleg már elérhetők és a többi architektúra csomagjai is hamarosan elérhetők lesznek. Megjegyzés: Az openssl 0.9.5a és 0.9.6 frissítések nem érintettek ebben a hibában.

Michael Stone levele a debian-security-announce listán.

A frissítésrõl szóló FAQ-nk.

Csomag : Konqueror

Sebezhetőség : oldalközi szkriptelhetőség probléma

Probléma-Típus : távoli

Debian-specifikus: nem

Upstream URL : http://www.kde.org/info/

security/advisory-20020908-2.txtOldalközi szkriptelhetőség problémát fedeztek fel a Konquerorban, a KDE híres böngészőjében, és más programokban amelyek a KHTML-t használják. A Konqueror és más egyéb KDE programok felhasználói könnyen cookie lopás, vagy más oldalközi szkriptelhetőség típusú támadás áldozatai lehetnek.

Ez a probléma javítva van a 2.2.2-13-as verziójú csomagban a Woodyhoz, és a 2.2.2-14-es verziójú csomagban a SID-hez. A Potato csomagjai nem érintettek ebben a hibában.

Martin Schultze levele a debian-security-announce listán.


A frissítésrõl szóló FAQ-nk.

Csomag: openssl094, openssl095, openssl

Probléma típus: több távolról kihasználható hiba

Debian-specifikus: nem

CVE: CAN-2002-0655 CAN-2002-0656 CAN-2002-0657 CAN-2002-0659



Megjegyzés: Ez a hibajegy a DSA-136-1 hibajegy frissítése, amit 2002 Július 30-án tettünk közzé. Tartalmazza az ASN1 frissítéseket a woody csomagokhoz, valamint a potato csomagokat, amik eredetileg nem voltak elérhetők.

Az OpenSSL fejlesztõi team bejelentette, hogy A.L Digital LTD.-tõl és a DARPA CHATS programjához tartozó "The Bunker" által végzett security audit több távolról kihasználható puffer-túlcsordulási hibát talált az OpenSSL kódjában. Továbbá az OpenSSL ASN1 értelmezõje lehetséges, hogy DoS-ra érzékeny, amely hibát egymástól függetlenül talált meg Adi Stav és James Yonan.



A CAN-2002-0655 olyan puffer túlcsordulási hibájára vonatkozik, ami az egészek ASCII reprezentációját tárolja 64 bites platformokon. A CAN-2002-0656 az SSL2 szerver implementációjában puffer-túlcsordulási (, ami egy a szervernek küldött érvénytelen kulcs küldésével hozható elõ) és az SSL3 kliens implementációjában levõ hibára (, ami akkor hat, ha a szerver túl nagy session ID-t küld vissza) vonatkozik. Az SSL2-es lehetõséget Neohapsis is észrevette, aki privátban bemutatott egy exploit kódot is. A CAN-2002-0659 az ASN1 értelmezõbeli DoS hibára vonatkozik.

Ezek a sebezhetőségek a Debian 3.0-ban (woody) az openssl094_0.9.4-6.woody.1 -ben, openssl095_0.9.5a-6.woody.1 -ben és a openssl_0.9.6c-2.woody.1. -ben van javítva.



Ezek a sebezhetőségek szintén adottak a Debian 2.2 (potato)-ban, javítva a openssl094_0.9.4-6.potato.0 és a openssl_0.9.6c-0.potato.4 verziójú csomagokban találhatók.



Csak i386 csomagok vannak az openssl094 és openssl095-ből jelenleg. A többi architektúrát is elkészítik amilyen gyorsan csak lehet.



Egy féreg jelenleg is képes kihasználni ezt a "lehatőséget" az internetre kötött gépeken. Ennélfogva javasoljuk, hogy frissítsd az OpenSSL-t amilyen hamar csak tudod. Figyelj arra, hogy minden démont újra kell indítani ami SSL-t használ. (pl. ssh vagy ssh engedélyezett apache.) Ha vannak bizonytalan programok amik SSL-t használnak, akkor inkább indítsd újra a géped, hogy meggyőződj arról, hogy minden futó démon az új könyvtárakat használja.



Michael Stone levele a debian-security-announce listán.

A frissítésrõl szóló FAQ-nk.


Megjegyzés: Ha használtad az anno általam potatohoz közzétett hotfixeket, akkor a most hivatalosan kiadott frissítéseket kézzel kell felrakni, ui. a verziószám, amit én adtam a csomagnak kb. uaz. mint a mostani, ellenben a potato szó helyett woody van benne, és így a dpkg az én régebbi verziómat tekinti frissebbnek!

A Mozillazine felhívta a felhasználók figyelmét erre a cikkre, melyben szó van egy felfedezett Mozilla bugról, amely az összes Mozilla verziót érinti egészen a 1.2a verzióig bezárólag. Érinti a Mozillát a Netscape 6/7 verziókat, a Chimera-t és a Galeon-t. A bug lehetővé teszi a weboldalnak, hogy nyomon kövesse a látogató mozgását az Interneten azután, hogy elhagyta az oldalt. A linkeket, bookmarkokat, és a beírt URL-t is nyomon lehet követni. Ez az oldal bemutatja a hibát, és segítséget nyújt az user.js file patcheléséhez.

Csomag : purity

Sebezhetőség : puffer túlcsorulás

Probléma-típus : helyi

Debian-specifikus: nem

Két puffer túlcsorulási hibát fedeztek fel a purity nevű programban, amely egy játék program, és amely setgid flaggal települ a Debian rendszereken. Kihasználva ezt a hibát, engdély nélküli hozzáférést lehet eszközölni a games csoporthoz. A rosszakaratú felhasználó meg tudja változtani a játékrekordokat.Ez a probléma javítva van a 1-14.2-es verziójú csomagban a stabil terjesztéshez (woody), a 1-9.1-es verzióban a régebbi stabil terjesztéshez (potato) és a 1-16 verzióban az unstable terjesztéshez (sid).

Javasoljuk a putity csomagok frissítését.

Martin Schultze levele a debian-security-announce listán.

A frissítésrõl szóló FAQ-nk.