Debians sikkerhedsbulletin

DSA-308-1 gzip -- usikre midlertidige filer

Rapporteret den:
6. jun 2003
Berørte pakker:
gzip
Sårbar:
Ja
Referencer i sikkerhedsdatabaser:
I Bugtraq-databasen (hos SecurityFocus): BugTraq-id 7845, BugTraq-id 7872.
I Mitres CVE-ordbog: CVE-1999-1332, CVE-2003-0367.
Yderligere oplysninger:

Paul Szabo har opdaget at znew, et skript der ligger i gzip-pakken, opretter sine midlertidiger filer uden at tage de nødvendige forholdsregler, til at forhindre et symlink-angreb (CAN-2003-0367).

Skriptet gzexe har en lignende sårbarhed, der blev rettet i en tidligere udgave, men ved fejl blev tilbageført til sit oprindelige udseende.

I den stabile distribution (woody) er begge problemer rettet i version 1.3.2-3woody1.

I den gamle stabile distribution (potato) er CAN-2003-0367 rettet i version 1.2.4-33.2. Denne version er ikke sårbar overfor CVE-1999-1332 på grund af en tidligere rettelse.

I den ustabile distribution (sid) vil dette problem snart blive rettet.

Vi anbefaler at du opdaterer dine gzip-pakke.

Rettet i:

Debian GNU/Linux 3.0 (woody)

Kildekode:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.3.2-3woody1.dsc
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.3.2-3woody1.diff.gz
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.3.2.orig.tar.gz
Alpha:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.3.2-3woody1_alpha.deb
ARM:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.3.2-3woody1_arm.deb
Intel IA-32:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.3.2-3woody1_i386.deb
Intel IA-64:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.3.2-3woody1_ia64.deb
HPPA:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.3.2-3woody1_hppa.deb
Motorola 680x0:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.3.2-3woody1_m68k.deb
Big endian MIPS:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.3.2-3woody1_mips.deb
Little endian MIPS:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.3.2-3woody1_mipsel.deb
PowerPC:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.3.2-3woody1_powerpc.deb
IBM S/390:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.3.2-3woody1_s390.deb
Sun Sparc:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.3.2-3woody1_sparc.deb

Debian GNU/Linux 2.2 (potato)

Kildekode:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.2.4-33.2.dsc
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.2.4-33.2.diff.gz
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.2.4.orig.tar.gz
Alpha:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.2.4-33.2_alpha.deb
ARM:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.2.4-33.2_arm.deb
Intel IA-32:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.2.4-33.2_i386.deb
Motorola 680x0:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.2.4-33.2_m68k.deb
PowerPC:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.2.4-33.2_powerpc.deb
Sun Sparc:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.2.4-33.2_sparc.deb

MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.