Bug

Csomag: analog


Sebezhetőség: cross-site scripting


Probléma-Típus: távoli


Debian-specifikus: nem

Yuji Takahashi egy bugot fedezett fel az analog csomagban, amely bugnak a kihasználása ``cross-site scripting" típusú támadással lehetséges. A hiba lehetővé teszi a támadónak, hogy nemkívánatos stringeket tegyen bármely web szerver logfile-jába. A támadó akár java-scriptet is tehet a logfile-ba, amelyet az analog értelmezhet, így akár egy harmadik személy is elolvashatja a logfile-t.

A hiba javítva van az 5.22-es analog-ban.

Azonnali frissítés javasolt.

A javítás mikéntjéről olvasd el a FAQ idevágó részét.

Bővebben a hibáról itt olvashatsz.

Csomag: mtr


Sebezhetőség: buffer overflow


Probléma-Típus: távoli


Debian-specifikus: nem

Az mtr szerzői kiadták az mtr legújabb verzióját. Ennek az oka az, hogy Przemyslaw Frasunek egy könnyen kihasználható hibát talált a programban. Ezt a hibát kihasználva a támadó raw socket-hez juthat, amely lehetővé tesz IP spoofolást és más nem kívánatos hálózati támadást.

A probléma javítva van a csomag Debian karbantartója által a 0.41-6-os verzióban a stabil disztribúcióhoz (potato).

A javítás mikéntjéről olvasd el a FAQ idevágó részét.

Bővebben a hibáról itt olvashatsz.

Csomag: listar

Probléma típus: távoli elérés

Debian specifikus: nem



Janusz Niewiadomski és Wojciech Purczynski jelentett puffer-túlcsordulási hibát a listar address_match-jában. (Ez egy listserv típusú levelezési lista kezelő)


A hibát a 0.129a-2.potato1 verzió javítja.


Arról, hogy a Debian fejlesztő verziójában mi az ábra már nem szól a hibajelentés :(


A frissítés mikéntjéről olvasd el a FAQ idevonatkozó részét!


A hibajelentést pedig a DSA-123-1 üzenetben olvashatod.

Florian Weimer írt egy kis 'progit', ami a lefordított kódban keres zlib táblákat, így megállapítható, hogy frissíteni kell-e a programot (a zlib bug miatt). Szerintem nagyon hasznos, mindenki használja egészséggel.

Letölthető innen, ha valami gond lenne a site-al, akkor egy magyar helyről is.

Csomag: zlib, és mások

Támadhatóság: malloc hiba (dupla felszabadítás)

Probléma típus: lehetséges távoli root

Debian specifikus: nem



Ahogy arról nemrégiben hírt adtunk a zlib-ben hibát találtak.

A hiba részleteiről lásd a DSA-122-1 jelentést.

A frissítés mikéntjéről pedig a FAQ idevonatkozó részét.
A zlib tömörítést tartalmazó könyvtár (library) tartalmaz egy rést, mely bizonyos feltételek teljesülése esetén adott memóriaterületet több mint egyszer próbál felszabadítani. Ezt talán ki lehet használni arra, hogy tetszőleges kódot futtassunk egy olyan programban ami a zlib-et használja. Ha egy hálózati alkalmazást futtatunk root-ként, ami a zlib-hez van linkelve, az talán lehetőséget ad arra, hogy távolról megpróbálják rootként kompromittálni a renszerünket. Jelenleg nem ismert ilyen exploit. A támadhatóság a CAN-2002-0059 nevet kapta.



A támadhatóságot az 1.1.3-5.1 verziójú zlib Debian csomag tartalmazza. Számos program statikusan van a zlib-hez linkelve, ami ilymódon saját magában tartalmazza a hibás kódot, ezért szintén frissíteni kell őket. Az érintett csomagok, és a javítást tartalmazó verziószámok:

• amaya 2.4-1potato1
• dictd 1.4.9-9potato1
• erlang 49.1-10.1
• freeamp 2.0.6-2.1
• mirrordir 0.10.48-2.1
• ppp 2.3.11-1.5
• rsync 2.3.2-1.6
• rweb 1.5-5.1

Aki a Debian testing/unstable verzióját használja, azok számára az 1.1.3-19.1 vagy későbbi verziók tartalmazzák a javítást. Figyelem, mivel a Debian ezen verziója még nincs kiadva a frissítések lehet, hogy nem lesznek azonnal elérhetőek minden architektúrára. A Debian 2.2 (potato) a legutolsó támogatott kiadás.



Azt javasoljuk, hogy frissítsd a csomagjaid sürgősen. Figyelem, az összes olyan programot ami a zlib-et használja újra kell indítanod, hogy hatása legyen. A legegyszerűbb ha újraindítod a géped.

A CNET jelentése szerint ``buffer overflow" hibát találtak a linuxos zlib programban, amelyet hálózati tömörítéshez használunk (network compression). A dolog azért nem szerencsés, mert számos hálózatos program dependel rá, használja. Ilyenek pl. a mozilla, X11 és más programok (ha jól rémlik az ssh is?). Ezek a programok könnyen puffer túlcsorulás áldozatai lehetnek.

A Debian, SuSE, Red Hat már bejelentette a hibát...

Csomag: xtell

Támadhatóság: buffer overflow, symlink probléma

Probléma típus: távoli

Debian-specifikus: nem

Bővebb információ a DSA 121-es hibajelentésben.



A frissítés mikéntjéről bővebb információt találsz a FAQ-ban.

Csomag: libapache-mod-ssl, apache-ssl

Támadhatóság: puffer-túlcsordulás

Probléma típus: távoli

Debian specifikus: nem



A hibáról a DSA-120-1 jelentésben olvashatsz.

A frissítésről a FAQ idevonatkozó fejezetét olvasd el.Ed Moyle nemrégiben hibát talált az Apache-ssl és az apache-mod-ssl kódjában. Ha a "session" cache engedélyezve van, akkor a mod_ssl sorban eltárolja a "session"-hez tartozó változókat. Ezeket a változókat egy fix méretű pufferben tárolja, megfelelő határellenőrzés nélkül.



Hogy a hibát ki lehessen használni, a szervert úgy kell konfigurálni, hogy a klienstől Tanúsítványt (Certificate) kérjen, és a támadónak adnia kell egy gondosan előkészített kliens tanúsítványt, amit aláírt egy olyan Tanúsítványkiállító Hatóság (Certificate Authority) amelyben a szerver megbízik. Ha ezek a feltételek egyszerre teljesülnek, lehetséges, hogy a támadó tetszőleges kódot tud futtatni a szerveren.



A Debian stable disztribúciójában a hiba javítását a 1.3.9.13-4 verzió tartalmazza az apache-ssl-hez és a 2.4.10-1.3.9-1potato1 verzió a libapache-mod-ssl-hez. A Debian unstable/testing disztribúciójában a 1.3.23.1+1.47-1 verzió tartalmazza az apache-ssl és a 2.8.7-1 verzió tartalmazza a libapache-mod-ssl javítását.

Csomag: openssh

Sebezhetőség: local root exploit, távoli kliens exploit

Debian-specikus: nem

Joost Pol bejelentette, hogy az OpenSSH a 2.0 verziótól a 3.0.2 verzióig bugot tartalmaz a csatorna allokációs kódban. Ezt kihasználva az autentikált lokális felhasználó root jogokhoz juthat, és a távoli felhasználó rosszszándékú támadást intézhet a szerver ellen.

A Debian 2.2 (potato) az OpenSSH (az "ssh" csomag) 1.2.3 verzióját tartalmazza, ez nem sebezhető, így frissítés nem szükséges.

A Debian Woody felhasználóknak viszont legalább a 3.0.2p1-8 patchlet verziót kell használniuk. A debian archivok már ez a verziót tartalmazzák.

A frissítés mikéntjéről lásd a FAQ idevonatkozó részét.

A hiba eredeti leírását a DSA-119-1 hibajelentésben találod meg.

Hibát talált az OpenSSH-ban Joost Pol. Az általa kiadott közlemény erről itt olvasható. A hiba az OpenBSD-ben három napja, a FreeBSD-ben tegnap lett javítva. A Debian még nem adott ki hibajegyet.

A javított verzió az OpenSSH 3.1-es, ajánlott mindenkinek erre a verzióra frissíteni. A hiba javítása igen könnyű, lásd az OpenBSD CVS-ében történt változtatást.