Aviso de seguridad de Debian
DSA-073-1 imp -- 3 explotaciones remotas
- Fecha del informe:
- 11 de ago de 2001
- Paquetes afectados:
- imp
- Vulnerable:
- Sí
- Referencias a bases de datos de seguridad:
- En la base de datos de Bugtraq (en SecurityFocus): Id. en BugTraq 3082, Id. en BugTraq 3083.
En el diccionario CVE de Mitre: CVE-2001-1257, CVE-2001-1258, CVE-2001-1370. - Información adicional:
-
El equipo de Horde ha liberado la versión 2.2.6 de IMP (un programa de
correo IMAP basado en web) que arregla tres problemas de seguridad.
Su anuncio de liberación los describe como sigue:
- Una vulnerabilidad en PHPLIB permitía a un atacante ofrecer un valor para el elemento de array $_PHPLIB[libdir], y por ello obtener guiones de otro servidor para cargar y ejecutar. Esta vulnerabilidad es explotable remotamente. (Horde 1,2,x viene con su propia versión modificada de PHPLIB, que ahora ha sido parcheada para prevenir este problema).
- Usando codificaciones engañosas de " javascript:" un atacante puede causar que código JavaScript malicioso se ejecute en el navegador de un usuario cuando lea un correo enviado por el atacante. (IMP 2.2.x ya filtraba muchos patrones de ese tipo; ahora se bloquean unos cuantos más que estaban pasando los filtros).
- Un usuario hostil que pueda crear un fichero públicamente legible llamado "prefs.lang" en algún sitio del servidor Apache/PHP puede causar que ese fichero se ejecute como código PHP. Los ficheros de configuración de IMP podrían entonces ser leídos, la contraseña de la base de datos Horde usada para leer y alterar la base de datos usada para almacenar contactos y preferencias, etc. No creemos que esto sea explotable remotamente de forma directa a través de Apache/PHP/IMP; sin embargo, se podría usar el acceso con shell al servidor o cualquier otro medio (p.ej., FTP) para crear este fichero.
Todo esto ha sido arreglado en la versión 2:2.2.6-0.potato.1. Por favor, dése cuenta de que también necesitará actualizar el paquete de
hordea la misma versión. - Arreglado en:
-
Debian GNU/Linux 2.2 (potato)
- Fuentes:
- http://security.debian.org/dists/stable/updates/main/source/horde_1.2.6-0.potato.1.diff.gz
- http://security.debian.org/dists/stable/updates/main/source/horde_1.2.6-0.potato.1.dsc
- http://security.debian.org/dists/stable/updates/main/source/horde_1.2.6.orig.tar.gz
- http://security.debian.org/dists/stable/updates/main/source/imp_2.2.6-0.potato.1.diff.gz
- http://security.debian.org/dists/stable/updates/main/source/imp_2.2.6-0.potato.1.dsc
- http://security.debian.org/dists/stable/updates/main/source/imp_2.2.6.orig.tar.gz
- http://security.debian.org/dists/stable/updates/main/source/horde_1.2.6-0.potato.1.dsc
- Componentes independientes de la arquitectura:
- http://security.debian.org/dists/stable/updates/main/binary-all/horde_1.2.6-0.potato.1_all.deb
- http://security.debian.org/dists/stable/updates/main/binary-all/imp_2.2.6-0.potato.1_all.deb
- http://security.debian.org/dists/stable/updates/main/binary-all/imp_2.2.6-0.potato.1_all.deb
Las sumas MD5 de los ficheros que se listan están disponibles en el aviso original.