Aviso de seguridad de Debian

DSA-073-1 imp -- 3 explotaciones remotas

Fecha del informe:
11 de ago de 2001
Paquetes afectados:
imp
Vulnerable:
Referencias a bases de datos de seguridad:
En la base de datos de Bugtraq (en SecurityFocus): Id. en BugTraq 3082, Id. en BugTraq 3083.
En el diccionario CVE de Mitre: CVE-2001-1257, CVE-2001-1258, CVE-2001-1370.
Información adicional:
El equipo de Horde ha liberado la versión 2.2.6 de IMP (un programa de correo IMAP basado en web) que arregla tres problemas de seguridad. Su anuncio de liberación los describe como sigue:
  1. Una vulnerabilidad en PHPLIB permitía a un atacante ofrecer un valor para el elemento de array $_PHPLIB[libdir], y por ello obtener guiones de otro servidor para cargar y ejecutar. Esta vulnerabilidad es explotable remotamente. (Horde 1,2,x viene con su propia versión modificada de PHPLIB, que ahora ha sido parcheada para prevenir este problema).
  2. Usando codificaciones engañosas de " javascript:" un atacante puede causar que código JavaScript malicioso se ejecute en el navegador de un usuario cuando lea un correo enviado por el atacante. (IMP 2.2.x ya filtraba muchos patrones de ese tipo; ahora se bloquean unos cuantos más que estaban pasando los filtros).
  3. Un usuario hostil que pueda crear un fichero públicamente legible llamado "prefs.lang" en algún sitio del servidor Apache/PHP puede causar que ese fichero se ejecute como código PHP. Los ficheros de configuración de IMP podrían entonces ser leídos, la contraseña de la base de datos Horde usada para leer y alterar la base de datos usada para almacenar contactos y preferencias, etc. No creemos que esto sea explotable remotamente de forma directa a través de Apache/PHP/IMP; sin embargo, se podría usar el acceso con shell al servidor o cualquier otro medio (p.ej., FTP) para crear este fichero.

Todo esto ha sido arreglado en la versión 2:2.2.6-0.potato.1. Por favor, dése cuenta de que también necesitará actualizar el paquete de horde a la misma versión.

Arreglado en:

Debian GNU/Linux 2.2 (potato)

Fuentes:
http://security.debian.org/dists/stable/updates/main/source/horde_1.2.6-0.potato.1.diff.gz
http://security.debian.org/dists/stable/updates/main/source/horde_1.2.6-0.potato.1.dsc
http://security.debian.org/dists/stable/updates/main/source/horde_1.2.6.orig.tar.gz
http://security.debian.org/dists/stable/updates/main/source/imp_2.2.6-0.potato.1.diff.gz
http://security.debian.org/dists/stable/updates/main/source/imp_2.2.6-0.potato.1.dsc
http://security.debian.org/dists/stable/updates/main/source/imp_2.2.6.orig.tar.gz
Componentes independientes de la arquitectura:
http://security.debian.org/dists/stable/updates/main/binary-all/horde_1.2.6-0.potato.1_all.deb
http://security.debian.org/dists/stable/updates/main/binary-all/imp_2.2.6-0.potato.1_all.deb

Las sumas MD5 de los ficheros que se listan están disponibles en el aviso original.