Bulletin d'alerte Debian

DSA-541-1 icecast-server -- Manque de vérification des entrées

Date du rapport:

24 août 2004

Paquets concernés:

icecast-server

Vulnérabilité:

Oui

Références dans la base de données de sécurité:

Dans le dictionnaire CVE du Mitre : CVE-2004-0781.

Pour plus d'information:

Markus Wörle a découvert une vulnérabilité de script sur les éléments dynamiques dans status-display (dans le fichier list.cgi) du serveur web interne de icecast, un serveur de diffusion MPEG couche 3. L'éventuel code HTML présent dans la variable « UserAgent » n'est pas correctement échappé. Un attaquant pouvait ainsi faire exécuter au client des commandes Javascript arbitraires.

Pour l'actuelle distribution stable (Woody), ce problème a été corrigé dans la version 1.3.11-4.2.

Pour la distribution instable (Sid), ce problème a été corrigé dans la version 1.3.12-8.

Nous vous recommandons de mettre à jour votre paquet icecast-server.

Corrigé dans:

Debian GNU/Linux 3.0 (woody)

Source :: http://security.debian.org/pool/updates/main/i/icecast-server/icecast-server_1.3.11-4.2.dsc; http://security.debian.org/pool/updates/main/i/icecast-server/icecast-server_1.3.11-4.2.tar.gz
Alpha:: http://security.debian.org/pool/updates/main/i/icecast-server/icecast-server_1.3.11-4.2_alpha.deb
ARM:: http://security.debian.org/pool/updates/main/i/icecast-server/icecast-server_1.3.11-4.2_arm.deb
Intel IA-32:: http://security.debian.org/pool/updates/main/i/icecast-server/icecast-server_1.3.11-4.2_i386.deb
Intel IA-64:: http://security.debian.org/pool/updates/main/i/icecast-server/icecast-server_1.3.11-4.2_ia64.deb
HPPA:: http://security.debian.org/pool/updates/main/i/icecast-server/icecast-server_1.3.11-4.2_hppa.deb
Motorola 680x0:: http://security.debian.org/pool/updates/main/i/icecast-server/icecast-server_1.3.11-4.2_m68k.deb
Big endian MIPS:: http://security.debian.org/pool/updates/main/i/icecast-server/icecast-server_1.3.11-4.2_mips.deb
Little endian MIPS:: http://security.debian.org/pool/updates/main/i/icecast-server/icecast-server_1.3.11-4.2_mipsel.deb
PowerPC:: http://security.debian.org/pool/updates/main/i/icecast-server/icecast-server_1.3.11-4.2_powerpc.deb
IBM S/390:: http://security.debian.org/pool/updates/main/i/icecast-server/icecast-server_1.3.11-4.2_s390.deb
Sun Sparc:: http://security.debian.org/pool/updates/main/i/icecast-server/icecast-server_1.3.11-4.2_sparc.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.