Bulletin d'alerte Debian
DSA-080-1 htdig -- Collecte de données non autorisée
- Date du rapport :
- 17 octobre 2001
- Paquets concernés :
- htdig
- Vulnérabilité :
- Oui
- Références dans la base de données de sécurité :
- Dans le dictionnaire CVE du Mitre : CVE-2001-0834.
- Plus de précisions :
-
Nergal a rapporté une faille de sécurité dans le programme htsearch qui est
distribué comme partie du paquet ht://Dig, un système d'indexation et de
recherche pour les petits domaines ou intranets. En utilisant des versions
plus vieilles, il était possible de passer le paramètre -c au
programme cgi pour qu'il utilise un autre fichier de configuration.
Un utilisateur malveillant pouvait faire pointer htsearch vers un fichier comme /dev/zero et laisser le serveur tourner dans une boucle sans fin, essayant de lire des paramètre de configuration. Si l'utilisateur a une permission d'écriture sur le serveur, il peut pointer le programme dessus et récupérer tout fichier lisible par l'id de l'utilisateur du serveur web.
Ce problème a été corrigé dans la version 3.1.5-2.0potato.1 pour Debian GNU/Linux 2.2.
Nous vous recommandons de mettre à jour votre paquet htdig immédiatement.
- Corrigé dans :
-
Debian GNU/Linux 2.2 (potato)
- Source :
- http://security.debian.org/dists/stable/updates/main/source/htdig_3.1.5-2.0potato.1.diff.gz
- http://security.debian.org/dists/stable/updates/main/source/htdig_3.1.5-2.0potato.1.dsc
- http://security.debian.org/dists/stable/updates/main/source/htdig_3.1.5.orig.tar.gz
- http://security.debian.org/dists/stable/updates/main/source/htdig_3.1.5-2.0potato.1.dsc
- Composant indépendant de l'architecture :
- http://security.debian.org/dists/stable/updates/main/binary-all/htdig-doc_3.1.5-2.0potato.1_all.deb
- Alpha:
- http://security.debian.org/dists/stable/updates/main/binary-alpha/htdig_3.1.5-2.0potato.1_alpha.deb
- ARM:
- http://security.debian.org/dists/stable/updates/main/binary-arm/htdig_3.1.5-2.0potato.1_arm.deb
- Intel ia32:
- http://security.debian.org/dists/stable/updates/main/binary-i386/htdig_3.1.5-2.0potato.1_i386.deb
- Motorola 680x0:
- http://security.debian.org/dists/stable/updates/main/binary-m68k/htdig_3.1.5-2.0potato.1_m68k.deb
- PowerPC:
- http://security.debian.org/dists/stable/updates/main/binary-powerpc/htdig_3.1.5-2.0potato.1_powerpc.deb
- Sun Sparc:
- http://security.debian.org/dists/stable/updates/main/binary-sparc/htdig_3.1.5-2.0potato.1_sparc.deb
Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.