Bulletin d'alerte Debian

DSA-251-1 w3m -- Mauvaise interprétation HTML

Date du rapport :
14 février 2003
Paquets concernés :
w3m, w3m-ssl
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2002-1335, CVE-2002-1348.
Plus de précisions :

Hironori Sakamoto, un des développeurs w3m, a trouvé deux failles de sécurité dans w3m et autres programmes associés. Le navigateur w3m n'échappe pas proprement les balises HTML dans le contenu de cadre (frame) et dans les attributs alt pour img. Un cadre HTML ou un attribut alt conçu à dessein pourrait faire envoyer les témoins locaux utilisés pour la configuration à l'insu de l'utilisateur. L'information ne fuit pas automatiquement, cependant.

Pour la distribution stable (Woody), ce problème a été corrigé dans la version 0.3-2.4.

L'ancienne distribution stable (Potato) n'est pas affectée par ces problèmes.

Pour la distribution instable (Sid), ce problème a été corrigé dans la version 0.3.2.2-1 et ultérieure.

Nous vous recommandons de mettre à jour vos paquets w3m et w3m-ssl.

Corrigé dans :

Debian GNU/Linux 3.0 (woody)

Source :
http://security.debian.org/pool/updates/main/w/w3m/w3m_0.3-2.4.dsc
http://security.debian.org/pool/updates/main/w/w3m/w3m_0.3-2.4.diff.gz
http://security.debian.org/pool/updates/main/w/w3m/w3m_0.3.orig.tar.gz
http://security.debian.org/pool/updates/main/w/w3m-ssl/w3m-ssl_0.3-2.4.dsc
http://security.debian.org/pool/updates/main/w/w3m-ssl/w3m-ssl_0.3-2.4.diff.gz
http://security.debian.org/pool/updates/main/w/w3m-ssl/w3m-ssl_0.3.orig.tar.gz
Alpha:
http://security.debian.org/pool/updates/main/w/w3m/w3m_0.3-2.4_alpha.deb
http://security.debian.org/pool/updates/main/w/w3m/w3m-img_0.3-2.4_alpha.deb
http://security.debian.org/pool/updates/main/w/w3m-ssl/w3m-ssl_0.3-2.4_alpha.deb
ARM:
http://security.debian.org/pool/updates/main/w/w3m/w3m_0.3-2.4_arm.deb
http://security.debian.org/pool/updates/main/w/w3m/w3m-img_0.3-2.4_arm.deb
http://security.debian.org/pool/updates/main/w/w3m-ssl/w3m-ssl_0.3-2.4_arm.deb
Intel IA-32:
http://security.debian.org/pool/updates/main/w/w3m/w3m_0.3-2.4_i386.deb
http://security.debian.org/pool/updates/main/w/w3m/w3m-img_0.3-2.4_i386.deb
http://security.debian.org/pool/updates/main/w/w3m-ssl/w3m-ssl_0.3-2.4_i386.deb
HPPA:
http://security.debian.org/pool/updates/main/w/w3m/w3m_0.3-2.4_hppa.deb
http://security.debian.org/pool/updates/main/w/w3m/w3m-img_0.3-2.4_hppa.deb
http://security.debian.org/pool/updates/main/w/w3m-ssl/w3m-ssl_0.3-2.4_hppa.deb
Motorola 680x0:
http://security.debian.org/pool/updates/main/w/w3m/w3m_0.3-2.4_m68k.deb
http://security.debian.org/pool/updates/main/w/w3m/w3m-img_0.3-2.4_m68k.deb
http://security.debian.org/pool/updates/main/w/w3m-ssl/w3m-ssl_0.3-2.4_m68k.deb
Big endian MIPS:
http://security.debian.org/pool/updates/main/w/w3m/w3m_0.3-2.4_mips.deb
http://security.debian.org/pool/updates/main/w/w3m/w3m-img_0.3-2.4_mips.deb
http://security.debian.org/pool/updates/main/w/w3m-ssl/w3m-ssl_0.3-2.4_mips.deb
Little endian MIPS:
http://security.debian.org/pool/updates/main/w/w3m/w3m_0.3-2.4_mipsel.deb
http://security.debian.org/pool/updates/main/w/w3m/w3m-img_0.3-2.4_mipsel.deb
http://security.debian.org/pool/updates/main/w/w3m-ssl/w3m-ssl_0.3-2.4_mipsel.deb
PowerPC:
http://security.debian.org/pool/updates/main/w/w3m/w3m_0.3-2.4_powerpc.deb
http://security.debian.org/pool/updates/main/w/w3m/w3m-img_0.3-2.4_powerpc.deb
http://security.debian.org/pool/updates/main/w/w3m-ssl/w3m-ssl_0.3-2.4_powerpc.deb
IBM S/390:
http://security.debian.org/pool/updates/main/w/w3m/w3m_0.3-2.4_s390.deb
http://security.debian.org/pool/updates/main/w/w3m/w3m-img_0.3-2.4_s390.deb
http://security.debian.org/pool/updates/main/w/w3m-ssl/w3m-ssl_0.3-2.4_s390.deb
Sun Sparc:
http://security.debian.org/pool/updates/main/w/w3m/w3m_0.3-2.4_sparc.deb
http://security.debian.org/pool/updates/main/w/w3m/w3m-img_0.3-2.4_sparc.deb
http://security.debian.org/pool/updates/main/w/w3m-ssl/w3m-ssl_0.3-2.4_sparc.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.