Alerta de Segurança Debian

DSA-958-1 drupal -- várias vulnerabilidades

Data do Alerta:
27 Jan 2006
Pacotes Afetados:
drupal
Vulnerável:
Sim
Referência à base de dados de segurança:
Na base de dados do BugTraq (na SecurityFocus): ID BugTraq 15674, ID BugTraq 15677, ID BugTraq 15663.
No dicionário CVE do Mitre: CVE-2005-3973, CVE-2005-3974, CVE-2005-3975.
Informações adicionais:

Vários problemas relacionados à segurança foram descobertos no drupal, um um gerenciador de conteúdo/discussão com muitas funcionalidades. O projeto [1]Common Vulnerabilities and Exposures identificou as seguintes vulnerabilidades:

  • CVE-2005-3973

    Várias vulnerabilidades "cross-site scripting" permitem que atacantes remotos injetem scripts web ou HTML arbitrários.

  • CVE-2005-3974

    Quando executando sobre o PHP5, o Drupal não reforça corretamente os privilégios do usuário, o que permite que atacantes remotos transponham as permissões de "perfis de acesso do usuário"("access user profiles").

  • CVE-2005-3975

    Um conflito de interpretação permite que usuários remotos autenticados injetem script web ou HTML arbitrários através de HTML em um arquivo com extensão GIF ou JPEG.

A antiga distribuição estável ("woody") não contém o pacote drupal.

Para a distribuição estável ("sarge") estes problemas foram corrigidos na versão 4.5.3-5.

Para a distribuição instável ("sid") estes problemas foram corrigidos na versão 4.5.6-1.

Recomendamos que você atualize seu pacote drupal.

1.Common Vulnerabilities and Exposures é um projeto que visa padronizar os nomes para os avisos de vulnerabilidades e exposições de segurança.

Corrigido em:

Debian GNU/Linux 3.1 (sarge)

Fonte:
http://security.debian.org/pool/updates/main/d/drupal/drupal_4.5.3-5.dsc
http://security.debian.org/pool/updates/main/d/drupal/drupal_4.5.3-5.diff.gz
http://security.debian.org/pool/updates/main/d/drupal/drupal_4.5.3.orig.tar.gz
Componente independente de arquitetura:
http://security.debian.org/pool/updates/main/d/drupal/drupal_4.5.3-5_all.deb

Checksums MD5 dos arquivos listados estão disponíveis no alerta original.