Bulletin d'alerte Debian

DSA-715-1 cvs -- Plusieurs vulnérabilités

Date du rapport :
27 avril 2005
Paquets concernés :
cvs
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 260200.
Dans le dictionnaire CVE du Mitre : CVE-2004-1342, CVE-2004-1343.
Les annonces de vulnérabilité et les bulletins d'alerte du CERT : VU#327037.
Plus de précisions :

Plusieurs problèmes ont été découverts dans le serveur CVS, le populaire gestionnaire de versions. Le projet « Common Vulnerabilities and Exposures » a identifié les vulnérabilités suivantes :

  • CAN-2004-1342

    Maks Polunin et Alberto Garcia ont découvert indépendamment qu'en utilisant la méthode d'accès pserver avec la rustine « repouid » qu'utilise Debian, il était possible de passer outre la demande de mot de passe et d'avoir accès au référentiel en question.

  • CAN-2004-1343

    Alberto Garcia a découvert qu'un utilisateur distant pouvait faire interrompre le serveur quand le fichier cvs-repouids existait mais ne contenait pas les correspondances au référentiel en cours, ce qui pouvait être utilisé comme attaque par déni de service.

Pour l'actuelle distribution stable (Woody), ces problèmes ont été corrigés dans la version 1.11.1p1debian-10.

Pour la distribution instable (Sid), ces problèmes ont été corrigés dans la version 1.12.9-11.

Nous vous recommandons de mettre à jour votre paquet cvs.

Corrigé dans :

Debian GNU/Linux 3.0 (woody)

Source :
http://security.debian.org/pool/updates/main/c/cvs/cvs_1.11.1p1debian-10.dsc
http://security.debian.org/pool/updates/main/c/cvs/cvs_1.11.1p1debian-10.diff.gz
http://security.debian.org/pool/updates/main/c/cvs/cvs_1.11.1p1debian.orig.tar.gz
Alpha:
http://security.debian.org/pool/updates/main/c/cvs/cvs_1.11.1p1debian-10_alpha.deb
ARM:
http://security.debian.org/pool/updates/main/c/cvs/cvs_1.11.1p1debian-10_arm.deb
Intel IA-32:
http://security.debian.org/pool/updates/main/c/cvs/cvs_1.11.1p1debian-10_i386.deb
Intel IA-64:
http://security.debian.org/pool/updates/main/c/cvs/cvs_1.11.1p1debian-10_ia64.deb
HPPA:
http://security.debian.org/pool/updates/main/c/cvs/cvs_1.11.1p1debian-10_hppa.deb
Motorola 680x0:
http://security.debian.org/pool/updates/main/c/cvs/cvs_1.11.1p1debian-10_m68k.deb
Big endian MIPS:
http://security.debian.org/pool/updates/main/c/cvs/cvs_1.11.1p1debian-10_mips.deb
Little endian MIPS:
http://security.debian.org/pool/updates/main/c/cvs/cvs_1.11.1p1debian-10_mipsel.deb
PowerPC:
http://security.debian.org/pool/updates/main/c/cvs/cvs_1.11.1p1debian-10_powerpc.deb
IBM S/390:
http://security.debian.org/pool/updates/main/c/cvs/cvs_1.11.1p1debian-10_s390.deb
Sun Sparc:
http://security.debian.org/pool/updates/main/c/cvs/cvs_1.11.1p1debian-10_sparc.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.