Aviso de seguridad de Debian

DSA-308-1 gzip -- archivos temporales inseguros

Fecha del informe:
6 de jun de 2003
Paquetes afectados:
gzip
Vulnerable:
Referencias a bases de datos de seguridad:
En la base de datos de Bugtraq (en SecurityFocus): Id. en BugTraq 7845, Id. en BugTraq 7872.
En el diccionario CVE de Mitre: CVE-1999-1332, CVE-2003-0367.
Información adicional:

Paul Szabo descubrió que znew, un script incluído en el paquete gzip, creaba sus archivos temporales sin tomar las precauciones necesarias para evitar un ataque de enlace simbólico (CAN-2003-0367).

El script gzexe tenía una vulnerabilidad similar a la que se le aplicó un parche en una versión anterior, pero se le dejó de aplicar el parche posteriormente, sin ser advertido hasta ahora.

Par ala distribución estable (woody), ambos problemas se han corregido en la versión 1.3.2-3woody1.

Para la distribución estable anterior (potato), CAN-2003-0367 se ha corregido en la versión 1.2.4-33.2. Esta versión no es vulnerable a CVE-1999-1332 debido a un parche anterior.

Para la distribución inestable (sid), este problema se corregirá en breve.

Le recomendamos que actualice el paquete gzip.

Arreglado en:

Debian GNU/Linux 3.0 (woody)

Fuentes:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.3.2-3woody1.dsc
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.3.2-3woody1.diff.gz
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.3.2.orig.tar.gz
Alpha:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.3.2-3woody1_alpha.deb
ARM:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.3.2-3woody1_arm.deb
Intel IA-32:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.3.2-3woody1_i386.deb
Intel IA-64:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.3.2-3woody1_ia64.deb
HPPA:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.3.2-3woody1_hppa.deb
Motorola 680x0:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.3.2-3woody1_m68k.deb
Big endian MIPS:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.3.2-3woody1_mips.deb
Little endian MIPS:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.3.2-3woody1_mipsel.deb
PowerPC:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.3.2-3woody1_powerpc.deb
IBM S/390:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.3.2-3woody1_s390.deb
Sun Sparc:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.3.2-3woody1_sparc.deb

Debian GNU/Linux 2.2 (potato)

Fuentes:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.2.4-33.2.dsc
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.2.4-33.2.diff.gz
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.2.4.orig.tar.gz
Alpha:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.2.4-33.2_alpha.deb
ARM:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.2.4-33.2_arm.deb
Intel IA-32:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.2.4-33.2_i386.deb
Motorola 680x0:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.2.4-33.2_m68k.deb
PowerPC:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.2.4-33.2_powerpc.deb
Sun Sparc:
http://security.debian.org/pool/updates/main/g/gzip/gzip_1.2.4-33.2_sparc.deb

Las sumas MD5 de los ficheros que se listan están disponibles en el aviso original.