Yuji Takahashi a découvert un bogue dans analog qui permettait les attaques sur les éléments dynamiques. Il est facile à un assaillant d'ajouter une chaîne de caractères arbitraire dans le journal de tous les serveur web. Si ces chaînes de caractères sont ensuite analysées par analog, elles peuvent apparaître dans le compte rendu. Par ce moyen, un assaillant peut introduire un code Javascript arbitraire, par exemple, dans un compte rendu analog produit par quelqu'un d'autre et lu par une tierce personne. Analog essaie d'ores et déjà d'encoder les caractères dangereux pour éviter ce type d'attaque, mais la conversion était incomplète.
Ce problème a été corrigé dans la version 5.22 de développement d'analog. Malheureusement l'application de la rustine à l'ancienne version d'analog dans la distribution stable de Debian demanderait un travail si important que nous en avons été dissuadés.
Nous vous recommandons de mettre à jour votre paquet analog immédiatement.
Les hachés MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.