Debian セキュリティ勧告

DSA-251-1 w3m -- HTML のクオート処理の抜け

報告日時:
2003-02-14
影響を受けるパッケージ:
w3m, w3m-ssl
危険性:
あり
参考セキュリティデータベース:
Mitre の CVE 辞書: CVE-2002-1335, CVE-2002-1348.
詳細:

w3m の開発者の一人である坂本浩則さんにより、2つの セキュリティ上の脆弱性が、w3m およびその関連プログラムに発見 されました。 w3m ブラウザは、フレーム用ソースの HTML タグ、 および img タグの alt 属性を完全にはエスケープできていませんでした。 悪意ある HTML 文書のフレームまたは img要素の alt 属性を 用いてユーザを騙し、設定に使われているユーザのローカルの クッキーを送らせることができます。 但し、この情報は自動的に送信されるわけではありません。

現安定版 (stable) (woody) これらの問題は、バージョン 0.3-2.4 で修正されています。

旧安定版 (potato) は、これらの問題の影響を受けません。

不安定版 (unstable) (sid) では、バージョン 0.3.2.2-1 およびそれ以降の バージョンで修正されています。

w3m および w3m-ssl のパッケージをアップグレードすることを お勧めします。

修正:

Debian GNU/Linux 3.0 (woody)

ソース:
http://security.debian.org/pool/updates/main/w/w3m/w3m_0.3-2.4.dsc
http://security.debian.org/pool/updates/main/w/w3m/w3m_0.3-2.4.diff.gz
http://security.debian.org/pool/updates/main/w/w3m/w3m_0.3.orig.tar.gz
http://security.debian.org/pool/updates/main/w/w3m-ssl/w3m-ssl_0.3-2.4.dsc
http://security.debian.org/pool/updates/main/w/w3m-ssl/w3m-ssl_0.3-2.4.diff.gz
http://security.debian.org/pool/updates/main/w/w3m-ssl/w3m-ssl_0.3.orig.tar.gz
Alpha:
http://security.debian.org/pool/updates/main/w/w3m/w3m_0.3-2.4_alpha.deb
http://security.debian.org/pool/updates/main/w/w3m/w3m-img_0.3-2.4_alpha.deb
http://security.debian.org/pool/updates/main/w/w3m-ssl/w3m-ssl_0.3-2.4_alpha.deb
ARM:
http://security.debian.org/pool/updates/main/w/w3m/w3m_0.3-2.4_arm.deb
http://security.debian.org/pool/updates/main/w/w3m/w3m-img_0.3-2.4_arm.deb
http://security.debian.org/pool/updates/main/w/w3m-ssl/w3m-ssl_0.3-2.4_arm.deb
Intel IA-32:
http://security.debian.org/pool/updates/main/w/w3m/w3m_0.3-2.4_i386.deb
http://security.debian.org/pool/updates/main/w/w3m/w3m-img_0.3-2.4_i386.deb
http://security.debian.org/pool/updates/main/w/w3m-ssl/w3m-ssl_0.3-2.4_i386.deb
HPPA:
http://security.debian.org/pool/updates/main/w/w3m/w3m_0.3-2.4_hppa.deb
http://security.debian.org/pool/updates/main/w/w3m/w3m-img_0.3-2.4_hppa.deb
http://security.debian.org/pool/updates/main/w/w3m-ssl/w3m-ssl_0.3-2.4_hppa.deb
Motorola 680x0:
http://security.debian.org/pool/updates/main/w/w3m/w3m_0.3-2.4_m68k.deb
http://security.debian.org/pool/updates/main/w/w3m/w3m-img_0.3-2.4_m68k.deb
http://security.debian.org/pool/updates/main/w/w3m-ssl/w3m-ssl_0.3-2.4_m68k.deb
Big endian MIPS:
http://security.debian.org/pool/updates/main/w/w3m/w3m_0.3-2.4_mips.deb
http://security.debian.org/pool/updates/main/w/w3m/w3m-img_0.3-2.4_mips.deb
http://security.debian.org/pool/updates/main/w/w3m-ssl/w3m-ssl_0.3-2.4_mips.deb
Little endian MIPS:
http://security.debian.org/pool/updates/main/w/w3m/w3m_0.3-2.4_mipsel.deb
http://security.debian.org/pool/updates/main/w/w3m/w3m-img_0.3-2.4_mipsel.deb
http://security.debian.org/pool/updates/main/w/w3m-ssl/w3m-ssl_0.3-2.4_mipsel.deb
PowerPC:
http://security.debian.org/pool/updates/main/w/w3m/w3m_0.3-2.4_powerpc.deb
http://security.debian.org/pool/updates/main/w/w3m/w3m-img_0.3-2.4_powerpc.deb
http://security.debian.org/pool/updates/main/w/w3m-ssl/w3m-ssl_0.3-2.4_powerpc.deb
IBM S/390:
http://security.debian.org/pool/updates/main/w/w3m/w3m_0.3-2.4_s390.deb
http://security.debian.org/pool/updates/main/w/w3m/w3m-img_0.3-2.4_s390.deb
http://security.debian.org/pool/updates/main/w/w3m-ssl/w3m-ssl_0.3-2.4_s390.deb
Sun Sparc:
http://security.debian.org/pool/updates/main/w/w3m/w3m_0.3-2.4_sparc.deb
http://security.debian.org/pool/updates/main/w/w3m/w3m-img_0.3-2.4_sparc.deb
http://security.debian.org/pool/updates/main/w/w3m-ssl/w3m-ssl_0.3-2.4_sparc.deb

一覧にあるファイルの MD5 チェックサムは勧告の原文にあります。