Debian-Sicherheitsankündigung

DSA-1287-1 ldap-account-manager -- Mehrere Verwundbarkeiten

Datum des Berichts:

07. Mai 2007

Betroffene Pakete:

ldap-account-manager

Verwundbar:

Sicherheitsdatenbanken-Referenzen:

In der Debian-Fehlerdatenbank: Fehler 415379.
In Mitres CVE-Verzeichnis: CVE-2006-7191, CVE-2007-1840.

Weitere Informationen:

Zwei Verwundbarkeiten wurden in der Version von ldap-account-manager, die mit Debian 3.1 (Sarge) ausgeliefert wurde, gefunden.

CVE-2006-7191
Eine nichtvertrauenswürdige PATH-Verwundbarkeit könnte es einem lokalen Angreifer erlauben, beliebigen Code mit höheren Rechten auszuführen, indem ein bösartiges rm-Programm bereitgestellt wird und die PATH-Umgebungsvariable angepasst wird, um darauf zu verweisen.
CVE-2007-1840
Ein unpassender Schutz von HTML-Inhalt könnte es einem Angreifer erlauben, einen Site-übergreifenden Skripting-Angriff (XSS) zu starten und beliebigen Code im Browser des Opfers in der Sicherheitsumgebung der betroffenen Website auszuführen.

Für die alte Stable-Distribution (Sarge) wurde dieses Problem in Version 0.4.9-2sarge1 behoben. Neuere Versionen von Debian (Etch, Lenny und Sid) sind nicht betroffen.

Wir empfehlen Ihnen, Ihr ldap-account-manager-Paket zu aktualisieren.

Behoben in:

Debian GNU/Linux 3.1 (oldstable)

Quellcode:: http://security.debian.org/pool/updates/main/l/ldap-account-manager/ldap-account-manager_0.4.9-2sarge1.dsc; http://security.debian.org/pool/updates/main/l/ldap-account-manager/ldap-account-manager_0.4.9-2sarge1.diff.gz; http://security.debian.org/pool/updates/main/l/ldap-account-manager/ldap-account-manager_0.4.9.orig.tar.gz
Architektur-unabhängige Dateien:: http://security.debian.org/pool/updates/main/l/ldap-account-manager/ldap-account-manager_0.4.9-2sarge1_all.deb

MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.