Bulletin d'alerte Debian

DSA-877-1 gnump3d -- Vulnérabilité de script intersites (« cross-site scripting »), traversée de répertoire

Date du rapport :
28 octobre 2005
Paquets concernés :
gnump3d
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2005-3123, CVE-2005-3424, CVE-2005-3425.
Plus de précisions :

Steve Kemp a découvert deux vulnérabilités dans gnump3d, un serveur de diffusion de fichiers MP3 et OGG. Le projet « Common Vulnerabilities and Exposures » a identifié les problèmes suivants :

  • CVE-2005-3122

    La page d'erreur 404 n'enlevait pas le code JavaScript malveillant de la page résultante, qui pouvait être exécuté par le navigateur de la victime.

  • CVE-2005-3123

    Il était possible en utilisant des URLs spécialement conçues de lire les mêmes fichiers que ceux auxquels a accès l'utilisateur dédié au serveur de diffusion.

L'ancienne distribution stable (Woody) ne contient pas de paquet gnump3d.

Pour l'actuelle distribution stable (Sarge), ces problèmes ont été corrigés dans la version 2.9.3-1sarge2.

Pour la distribution instable (Sid), ces problèmes ont été corrigés dans la version 2.9.6-1.

Nous vous recommandons de mettre à jour votre paquet gnump3d.

Corrigé dans :

Debian GNU/Linux 3.1 (sarge)

Source :
http://security.debian.org/pool/updates/main/g/gnump3d/gnump3d_2.9.3-1sarge2.dsc
http://security.debian.org/pool/updates/main/g/gnump3d/gnump3d_2.9.3.orig.tar.gz
http://security.debian.org/pool/updates/main/g/gnump3d/gnump3d_2.9.3-1sarge2.diff.gz
Composant indépendant de l'architecture :
http://security.debian.org/pool/updates/main/g/gnump3d/gnump3d_2.9.3-1sarge2_all.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.