Debian-Sicherheitsankündigung
DSA-202-1 im -- Unsichere temporäre Dateien
- Datum des Berichts:
- 03. Dez 2002
- Betroffene Pakete:
- im
- Verwundbar:
- Ja
- Sicherheitsdatenbanken-Referenzen:
- In der Bugtraq-Datenbank (bei SecurityFocus): BugTraq ID 6307.
In Mitres CVE-Verzeichnis: CVE-2002-1395. - Weitere Informationen:
-
Tatsuya Kinoshita entdeckte, dass IM, das Schnittstellen-Befehle und Perl-Bibliotheken für E-Mail und NetNews enthält, temporäre Dateien unsicher erstellt.
- Das impwagent-Programm erstellt ein temporäres Verzeichnis auf unsichere Art in /tmp unter Verwendung einer vorhersehbaren Verzeichnisnamens ohne Prüfung des Antwort-Codes von mkdir, daher ist es möglich, Zugriff auf ein temporäres Verzeichnis bei lokalem Zugriff als ein anderer Benutzer zu erlangen.
- Das immknmz-Programm erstellt eine temporäre Datei auf unsichere Art in /tmp unter Verwendung eines vorhersehbaren Dateinamens, wodurch ein Angreifer mit lokalem Zugriff einfach Dateien als ein anderer Benutzer erstellen und überschreiben kann.
Diese Probleme wurden in Version 141-18.1 für die aktuelle stable Distribution (Woody), in Version 133-2.2 für die alte stable Distribution (Potato) und in Version 141-20 für die unstable Distribution (Sid) behoben.
Wir empfehlen Ihnen, Ihr IM-Paket zu aktualisieren.
- Behoben in:
-
Debian GNU/Linux 2.2 (potato)
- Quellcode:
- http://security.debian.org/pool/updates/main/i/im/im_133-2.3.dsc
- http://security.debian.org/pool/updates/main/i/im/im_133-2.3.diff.gz
- http://security.debian.org/pool/updates/main/i/im/im_133.orig.tar.gz
- http://security.debian.org/pool/updates/main/i/im/im_133-2.3.diff.gz
- Architektur-unabhängige Dateien:
- http://security.debian.org/pool/updates/main/i/im/im_133-2.3_all.deb
Debian GNU/Linux 3.0 (woody)
- Quellcode:
- http://security.debian.org/pool/updates/main/i/im/im_141-18.2.dsc
- http://security.debian.org/pool/updates/main/i/im/im_141-18.2.diff.gz
- http://security.debian.org/pool/updates/main/i/im/im_141.orig.tar.gz
- http://security.debian.org/pool/updates/main/i/im/im_141-18.2.diff.gz
- Architektur-unabhängige Dateien:
- http://security.debian.org/pool/updates/main/i/im/im_141-18.2_all.deb
MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.
MD5-Prüfsummen der aufgezählten Dateien stehen in der überarbeiteten Sicherheitsankündigung zur Verfügung.