Aviso de seguridad de Debian

DSA-1033-1 horde3 -- varias vulnerabilidades

Fecha del informe:
12 de abr de 2006
Paquetes afectados:
horde3
Vulnerable:
Referencias a bases de datos de seguridad:
En el sistema de seguimiento de errores de Debian: error 361967.
En el diccionario CVE de Mitre: CVE-2005-4190, CVE-2006-1260, CVE-2006-1491.
Información adicional:

Se han descubierto varias vulnerabilidades remotas en el entorno para aplicaciones web Horde, que podían conducir a la ejecución de código arbitrario o de código de guiones web. El proyecto Common Vulnerabilities and Exposures identifica los siguientes problemas:

  • CVE-2005-4190

    Se han descubierto varias vulnerabilidades en la "ventana de edición de compartidos".

  • CVE-2006-1260

    Caracteres nulos en el parámetro URL eludían una comprobación de sanidad, lo que permitía que los atacantes remotos pudiesen leer archivos arbitrarios, lo que a su vez posibilitaba una revelación de información.

  • CVE-2006-1491

    La entrada del usuario en el visor de ayuda se pasaba sin verificar a la función eval(), lo que permitía la inyección de código web arbitrario.

La distribución estable anterior (woody) no contiene los paquetes de horde3.

Para la distribución estable (sarge), estos problemas se han corregido en la versión 3.0.4-4sarge3.

Para la distribución inestable (sid), estos problemas se han corregido en la versión 3.1.1-1.

Le recomendamos que actualice el paquete horde3.

Arreglado en:

Debian GNU/Linux 3.1 (sarge)

Fuentes:
http://security.debian.org/pool/updates/main/h/horde3/horde3_3.0.4-4sarge3.dsc
http://security.debian.org/pool/updates/main/h/horde3/horde3_3.0.4-4sarge3.diff.gz
http://security.debian.org/pool/updates/main/h/horde3/horde3_3.0.4.orig.tar.gz
Componentes independientes de la arquitectura:
http://security.debian.org/pool/updates/main/h/horde3/horde3_3.0.4-4sarge3_all.deb

Las sumas MD5 de los ficheros que se listan están disponibles en el aviso original.