Alerta de Segurança Debian

DSA-934-1 pound -- várias vulnerabilidades

Data do Alerta:
09 Jan 2006
Pacotes Afetados:
pound
Vulnerável:
Sim
Referência à base de dados de segurança:
No sistema de acompanhamento de bugs do Debian: Bug 307852.
No dicionário CVE do Mitre: CVE-2005-1391, CVE-2005-3751.
Informações adicionais:

Duas vulnerabilidades foram descobertas no Pound, um proxy reverso e balanceador de carga para HTTP. O Projeto de Auditoria de Segurança do Debian ("Debian Security Audit Project") identificou os seguintes problemas:

  • CVE-2005-1391:

    Host HTTP excessivamente longo: cabeçalhos podem disparar um estouro de pilha na função add_port(), que pode levar a uma execução de código arbitrário.

  • CVE-2005-3751:

    Requisições HTTP com cabeçalhos Content-Length e Transfer-Encoding conflitantes podem levar a um ataque de requisição HTTP falsa ("HTTP Request Smuggling Attack"), que pode ser explorado para transpor filtros de pacotes ou envenenar "caches" web.

A antiga distribuição estável ("woody") não contém o pacote pound.

Para a distribuição estável ("sarge") estes problemas foram corrigidos na versão 1.8.2-1sarge1

Para a distribuição instável ("sid") estes problemas foram corrigidos na versão 1.9.4-1

Recomendamos que você atualize seu pacote pound.

Corrigido em:

Debian GNU/Linux 3.1 (sarge)

Fonte:
http://security.debian.org/pool/updates/main/p/pound/pound_1.8.2-1sarge1.dsc
http://security.debian.org/pool/updates/main/p/pound/pound_1.8.2-1sarge1.diff.gz
http://security.debian.org/pool/updates/main/p/pound/pound_1.8.2.orig.tar.gz
Alpha:
http://security.debian.org/pool/updates/main/p/pound/pound_1.8.2-1sarge1_alpha.deb
AMD64:
http://security.debian.org/pool/updates/main/p/pound/pound_1.8.2-1sarge1_amd64.deb
ARM:
http://security.debian.org/pool/updates/main/p/pound/pound_1.8.2-1sarge1_arm.deb
Intel IA-32:
http://security.debian.org/pool/updates/main/p/pound/pound_1.8.2-1sarge1_i386.deb
Intel IA-64:
http://security.debian.org/pool/updates/main/p/pound/pound_1.8.2-1sarge1_ia64.deb
HPPA:
http://security.debian.org/pool/updates/main/p/pound/pound_1.8.2-1sarge1_hppa.deb
Motorola 680x0:
http://security.debian.org/pool/updates/main/p/pound/pound_1.8.2-1sarge1_m68k.deb
Big endian MIPS:
http://security.debian.org/pool/updates/main/p/pound/pound_1.8.2-1sarge1_mips.deb
Little endian MIPS:
http://security.debian.org/pool/updates/main/p/pound/pound_1.8.2-1sarge1_mipsel.deb
PowerPC:
http://security.debian.org/pool/updates/main/p/pound/pound_1.8.2-1sarge1_powerpc.deb
IBM S/390:
http://security.debian.org/pool/updates/main/p/pound/pound_1.8.2-1sarge1_s390.deb

Checksums MD5 dos arquivos listados estão disponíveis no alerta original.