DSA 197-1 Az új sqwebmail csomagok helyi információszivárgást javítanak

Címkék

Csomag: courier

Sebezhetőség: puffer túlcsordulás

Probléma típus: helyi

Debian-specifikus: nem



Egy problémát találtak a Courier sqwebmail csomagban, ami egy CGI program, ami azonosított hozzáférést nyújt a helyi mailboxokhoz. A program nem dobja el a jogosultságokat elég gyorsan az indulásakor és megfelelő körülmények közt egy helyi shell-el rendelkező felhasználó futtathatja az sqwebmail binárist és lehtősége nyílik a helyi fájlrendszeren tetszőleges fájl elolvasására.A problémát a 0.37.3-2.3 verzió javítja az aktuális stabil terjesztésben (woody), és a 0.40.0-1 verzió az instabil terjesztésben (sid). A régi stabil terjesztés (potato) nem tartalmazza a Courier sqwebmail csomagokat.



Az sqwebamail csomagok azonnali frissítését javasoljuk.

Martin Schultze levele a debian-security-announce listán.

A frissítésről szóló FAQ-nk.