Bulletin d'alerte Debian

mirror -- Mauvaise gestion des noms de répertoire dans mirror

Date du rapport :
18 octobre 1999
Paquets concernés :
mirror
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2000-0354.
Plus de précisions :
Nous avons reçu des rapports indiquant que la version de mirror incluse dans Debian GNU/Linux 2.1 peut être soumise à une attaque distante. Quand on effectue le miroir d'un site, son propriétaire malveillant peut utiliser des constructions de noms de fichier comme « .. » forçant le miroir à travailler à un niveau au dessus du répertoire de base pour les fichiers à copier et donc permettre d'écraser des données locales.
Corrigé dans :
Source :
http://security.debian.org/dists/slink/updates/source/mirror_2.9-2.1.diff.gz
http://security.debian.org/dists/slink/updates/source/mirror_2.9-2.1.dsc
http://security.debian.org/dists/slink/updates/source/mirror_2.9.orig.tar.gz
Composant indépendant de l'architecture :
http://security.debian.org/dists/stable/updates/binary-all/mirror_2.9-2.1_all.deb