Debian-Sicherheitsankündigung

DSA-605-1 viewcvs -- Einstellungen werden nicht berücksichtigt

Datum des Berichts:

06. Dez 2004

Betroffene Pakete:

viewcvs

Verwundbar:

Sicherheitsdatenbanken-Referenzen:

In Mitres CVE-Verzeichnis: CVE-2004-0915.

Weitere Informationen:

Haris Sehic entdeckte mehrere Verwundbarkeiten in viewcvs, einem Werkzeug zur Anzeige von CVS- und Subversion-Depots per HTTP. Beim Exportieren eines Depots als tar-Archiv wurden die Einstellungen für hide_cvsroot und forbidden nicht genügend beachtet.

Wenn Sie das Paket für Woody aktualisieren, erstellen Sie bitte eine Kopie Ihrer Datei /etc/viewcvs/viewcvs.conf, falls Sie diese manuell geändert haben. Bei der Aktualisierung könnte der debconf-Mechanismus die Datei in einer Weise ändern, dass viewcvs diese nicht mehr interpretieren kann.

Für die Stable-Distribution (Woody) wurden diese Probleme in Version 0.9.2-4woody1 behoben.

Für die Unstable-Distribution (Sid) wurden diese Probleme in Version 0.9.2+cvs.1.0.dev.2004.07.28-1.2 behoben.

Wir empfehlen Ihnen, Ihr viewcvs-Paket zu aktualisieren.

Behoben in:

Debian GNU/Linux 3.0 (woody)

Quellcode:: http://security.debian.org/pool/updates/main/v/viewcvs/viewcvs_0.9.2-4woody1.dsc; http://security.debian.org/pool/updates/main/v/viewcvs/viewcvs_0.9.2-4woody1.diff.gz; http://security.debian.org/pool/updates/main/v/viewcvs/viewcvs_0.9.2.orig.tar.gz
Architektur-unabhängige Dateien:: http://security.debian.org/pool/updates/main/v/viewcvs/viewcvs_0.9.2-4woody1_all.deb

MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.