Bulletin d'alerte Debian

DSA-431-1 perl -- Fuite d'informations

Date du rapport:

1 février 2004

Paquets concernés:

Vulnérabilité:

Oui

Références dans la base de données de sécurité:

Dans la base de données de suivi des bogues (chez SecurityFocus) : Identificateur BugTraq 9543.
Dans le dictionnaire CVE du Mitre : CVE-2003-0618.

Pour plus d'information:

Paul Szabo a découvert un certain nombre de bogues similaires dans suidperl, un utilitaire pour lancer des scripts Perl avec des privilèges setuid. En exploitant ces bogues, un attaquant pourrait découvrir certaines informations sur des fichiers (telles que le test de leur existence et de certaines de leurs permissions) qui ne sont normalement pas accessibles aux utilisateurs sans privilèges.

Pour la distribution stable actuelle (Woody), ce problème a été corrigé dans la version 5.6.1-8.6.

Pour la distribution instable (Sid), ce problème sera corrigé prochainement. Référez-vous au bogue Debian #220486.

Nous vous recommandons de mettre à jour votre paquet perl si vous avez perl-suid d'installé.

Corrigé dans:

Debian GNU/Linux 3.0 (woody)

Source :: http://security.debian.org/pool/updates/main/p/perl/perl_5.6.1-8.6.dsc; http://security.debian.org/pool/updates/main/p/perl/perl_5.6.1-8.6.diff.gz; http://security.debian.org/pool/updates/main/p/perl/perl_5.6.1.orig.tar.gz
Composant indépendant de l'architecture :: http://security.debian.org/pool/updates/main/p/perl/libcgi-fast-perl_5.6.1-8.6_all.deb; http://security.debian.org/pool/updates/main/p/perl/perl-doc_5.6.1-8.6_all.deb; http://security.debian.org/pool/updates/main/p/perl/perl-modules_5.6.1-8.6_all.deb
Alpha:: http://security.debian.org/pool/updates/main/p/perl/libperl-dev_5.6.1-8.6_alpha.deb; http://security.debian.org/pool/updates/main/p/perl/libperl5.6_5.6.1-8.6_alpha.deb; http://security.debian.org/pool/updates/main/p/perl/perl_5.6.1-8.6_alpha.deb; http://security.debian.org/pool/updates/main/p/perl/perl-base_5.6.1-8.6_alpha.deb; http://security.debian.org/pool/updates/main/p/perl/perl-debug_5.6.1-8.6_alpha.deb; http://security.debian.org/pool/updates/main/p/perl/perl-suid_5.6.1-8.6_alpha.deb
ARM:: http://security.debian.org/pool/updates/main/p/perl/libperl-dev_5.6.1-8.6_arm.deb; http://security.debian.org/pool/updates/main/p/perl/libperl5.6_5.6.1-8.6_arm.deb; http://security.debian.org/pool/updates/main/p/perl/perl_5.6.1-8.6_arm.deb; http://security.debian.org/pool/updates/main/p/perl/perl-base_5.6.1-8.6_arm.deb; http://security.debian.org/pool/updates/main/p/perl/perl-debug_5.6.1-8.6_arm.deb; http://security.debian.org/pool/updates/main/p/perl/perl-suid_5.6.1-8.6_arm.deb
Intel IA-32:: http://security.debian.org/pool/updates/main/p/perl/libperl-dev_5.6.1-8.6_i386.deb; http://security.debian.org/pool/updates/main/p/perl/libperl5.6_5.6.1-8.6_i386.deb; http://security.debian.org/pool/updates/main/p/perl/perl_5.6.1-8.6_i386.deb; http://security.debian.org/pool/updates/main/p/perl/perl-base_5.6.1-8.6_i386.deb; http://security.debian.org/pool/updates/main/p/perl/perl-debug_5.6.1-8.6_i386.deb; http://security.debian.org/pool/updates/main/p/perl/perl-suid_5.6.1-8.6_i386.deb
Intel IA-64:: http://security.debian.org/pool/updates/main/p/perl/libperl-dev_5.6.1-8.6_ia64.deb; http://security.debian.org/pool/updates/main/p/perl/libperl5.6_5.6.1-8.6_ia64.deb; http://security.debian.org/pool/updates/main/p/perl/perl_5.6.1-8.6_ia64.deb; http://security.debian.org/pool/updates/main/p/perl/perl-base_5.6.1-8.6_ia64.deb; http://security.debian.org/pool/updates/main/p/perl/perl-debug_5.6.1-8.6_ia64.deb; http://security.debian.org/pool/updates/main/p/perl/perl-suid_5.6.1-8.6_ia64.deb
HPPA:: http://security.debian.org/pool/updates/main/p/perl/libperl-dev_5.6.1-8.6_hppa.deb; http://security.debian.org/pool/updates/main/p/perl/libperl5.6_5.6.1-8.6_hppa.deb; http://security.debian.org/pool/updates/main/p/perl/perl_5.6.1-8.6_hppa.deb; http://security.debian.org/pool/updates/main/p/perl/perl-base_5.6.1-8.6_hppa.deb; http://security.debian.org/pool/updates/main/p/perl/perl-debug_5.6.1-8.6_hppa.deb; http://security.debian.org/pool/updates/main/p/perl/perl-suid_5.6.1-8.6_hppa.deb
Motorola 680x0:: http://security.debian.org/pool/updates/main/p/perl/libperl-dev_5.6.1-8.6_m68k.deb; http://security.debian.org/pool/updates/main/p/perl/libperl5.6_5.6.1-8.6_m68k.deb; http://security.debian.org/pool/updates/main/p/perl/perl_5.6.1-8.6_m68k.deb; http://security.debian.org/pool/updates/main/p/perl/perl-base_5.6.1-8.6_m68k.deb; http://security.debian.org/pool/updates/main/p/perl/perl-debug_5.6.1-8.6_m68k.deb; http://security.debian.org/pool/updates/main/p/perl/perl-suid_5.6.1-8.6_m68k.deb
Big endian MIPS:: http://security.debian.org/pool/updates/main/p/perl/libperl-dev_5.6.1-8.6_mips.deb; http://security.debian.org/pool/updates/main/p/perl/libperl5.6_5.6.1-8.6_mips.deb; http://security.debian.org/pool/updates/main/p/perl/perl_5.6.1-8.6_mips.deb; http://security.debian.org/pool/updates/main/p/perl/perl-base_5.6.1-8.6_mips.deb; http://security.debian.org/pool/updates/main/p/perl/perl-debug_5.6.1-8.6_mips.deb; http://security.debian.org/pool/updates/main/p/perl/perl-suid_5.6.1-8.6_mips.deb
Little endian MIPS:: http://security.debian.org/pool/updates/main/p/perl/libperl-dev_5.6.1-8.6_mipsel.deb; http://security.debian.org/pool/updates/main/p/perl/libperl5.6_5.6.1-8.6_mipsel.deb; http://security.debian.org/pool/updates/main/p/perl/perl_5.6.1-8.6_mipsel.deb; http://security.debian.org/pool/updates/main/p/perl/perl-base_5.6.1-8.6_mipsel.deb; http://security.debian.org/pool/updates/main/p/perl/perl-debug_5.6.1-8.6_mipsel.deb; http://security.debian.org/pool/updates/main/p/perl/perl-suid_5.6.1-8.6_mipsel.deb
PowerPC:: http://security.debian.org/pool/updates/main/p/perl/libperl-dev_5.6.1-8.6_powerpc.deb; http://security.debian.org/pool/updates/main/p/perl/libperl5.6_5.6.1-8.6_powerpc.deb; http://security.debian.org/pool/updates/main/p/perl/perl_5.6.1-8.6_powerpc.deb; http://security.debian.org/pool/updates/main/p/perl/perl-base_5.6.1-8.6_powerpc.deb; http://security.debian.org/pool/updates/main/p/perl/perl-debug_5.6.1-8.6_powerpc.deb; http://security.debian.org/pool/updates/main/p/perl/perl-suid_5.6.1-8.6_powerpc.deb
IBM S/390:: http://security.debian.org/pool/updates/main/p/perl/libperl-dev_5.6.1-8.6_s390.deb; http://security.debian.org/pool/updates/main/p/perl/libperl5.6_5.6.1-8.6_s390.deb; http://security.debian.org/pool/updates/main/p/perl/perl_5.6.1-8.6_s390.deb; http://security.debian.org/pool/updates/main/p/perl/perl-base_5.6.1-8.6_s390.deb; http://security.debian.org/pool/updates/main/p/perl/perl-debug_5.6.1-8.6_s390.deb; http://security.debian.org/pool/updates/main/p/perl/perl-suid_5.6.1-8.6_s390.deb
Sun Sparc:: http://security.debian.org/pool/updates/main/p/perl/libperl-dev_5.6.1-8.6_sparc.deb; http://security.debian.org/pool/updates/main/p/perl/libperl5.6_5.6.1-8.6_sparc.deb; http://security.debian.org/pool/updates/main/p/perl/perl_5.6.1-8.6_sparc.deb; http://security.debian.org/pool/updates/main/p/perl/perl-base_5.6.1-8.6_sparc.deb; http://security.debian.org/pool/updates/main/p/perl/perl-debug_5.6.1-8.6_sparc.deb; http://security.debian.org/pool/updates/main/p/perl/perl-suid_5.6.1-8.6_sparc.deb

Les hachés MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.

Les hachés MD5 des fichiers indiqués sont disponibles dans la nouvelle annonce de sécurité.