Debians sikkerhedsbulletin

DSA-925-1 phpbb2 -- flere sårbarheder

Rapporteret den:

22. dec 2005

Berørte pakker:

Sårbar:

Referencer i sikkerhedsdatabaser:

I Debians fejlsporingssystem: Fejl 35662, Fejl 336582, Fejl 336587.
I Bugtraq-databasen (hos SecurityFocus): BugTraq-id 15170, BugTraq-id 15243.
I Mitres CVE-ordbog: CVE-2005-3310, CVE-2005-3415, CVE-2005-3416, CVE-2005-3417, CVE-2005-3418, CVE-2005-3419, CVE-2005-3420, CVE-2005-3536, CVE-2005-3537.

Yderligere oplysninger:

Flere sårbarheder er opdaget i phpBB, et omfangsrigt og skinbart "fladt" webforum. Projektet Common Vulnerabilities and Exposures har fundet frem til følgende problemer:

CVE-2005-3310
Flere fortolkningsfejl gjorde det muligt for fjernautentificerede brugere at indsprøjte vilkårlige webskripter, når fjern-avatars og avatar-upload var slået til.
CVE-2005-3415
phpBB gjorde det muligt for fjernangribere at omgå beskyttelsesmekanismer som afregistrerede globale variable, hvilket tillod angriberne at manipulere med den måde phpBB opførte sig på.
CVE-2005-3416
phpBB gjorde det muligt for fjernangribere at omgå sikkerhedskontroller når register_globals var slået til og funktionen session_start function ikke var blevet kaldt for at håndtere en session.
CVE-2005-3417
phpBB gjorde det muligt for fjernangribere at ændre globale variable og omgå sikkerhedsmekanismer.
CVE-2005-3418
Flere sårbarheder i forbindelse med udførelse af skripter på tværs af websteder (cross-site scripting, XSS) gjorde det muligt for fjernangribere at indsprøjte vilkårlige webskripter.
CVE-2005-3419
En SQL-indsprøjtningssårbarhed gjorde det muligt for fjernangribee at udføre vilkårlige SQL-kommandoer.
CVE-2005-3420
phpBB gjorde det muligt for fjernangriberre at ændre regulære udtryk og udføre PHP-kode via parameteret signature_bbcode_uid.
CVE-2005-3536
Manglende kontrol af inddata i forbindelse med topic-typen, gjorde det muligt for fjernangribere at indsprøjte vilkårlige SQL-kommandoer.
CVE-2005-3537
Manglende request-validering tillod fjernangribere at redigere andre brugeres private meddelelser.

Den gamle stabile distribution (woody) indeholder ikke phpbb2-pakker.

I den stabile distribution (sarge) er disse problemer rettet i version 2.0.13+1-6sarge2.

I den ustabile distribution (sid) er disse problemer rettet i version 2.0.18-1.

Vi anbefaler at du opgraderer dine phpbb2-pakker.

Rettet i:

Debian GNU/Linux 3.1 (sarge)

Kildekode:: http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2_2.0.13+1-6sarge2.dsc; http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2_2.0.13+1-6sarge2.diff.gz; http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2_2.0.13+1.orig.tar.gz
Arkitekturuafhængig komponent:: http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2-conf-mysql_2.0.13-6sarge2_all.deb; http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2-languages_2.0.13-6sarge2_all.deb; http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2_2.0.13-6sarge2_all.deb

MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.