Yuji Takahashi descubrió un error en analog que permite un ataque de tipo script a través del sitio (cross-site scripting). Es fácil para el atacante insertar cadenas arbitrarias en cualquier archivo de log del servidor web. Si estas cadenas son luego analizadas por analog, pueden aparecer en el informe. Esto significa que un atacante puede introducir código Javascript arbitrario, por ejemplo, en un informe de analog producido por alguien y que pueda ser leído por una tercera persona. Analog ya intentaba codificar caracteres no seguros para evitar este tipo de ataque, pero la conversión era incompleta.
Este problema se ha arreglado en la versión siguiente 5.22 de analog. Desafortunadamente, parchear la versión antigua de analog de la distribución estable de Debian es un trabajo muy grande que puede con nosotros.
Recomendamos que actualice su paquete analog inmediatamente.
Las sumas MD5 de los ficheros que se listan están disponibles en el aviso original.