Bulletin d'alerte Debian

DSA-1287-1 ldap-account-manager -- Plusieurs vulnérabilités

Date du rapport :
7 mai 2007
Paquets concernés :
ldap-account-manager
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 415379.
Dans le dictionnaire CVE du Mitre : CVE-2006-7191, CVE-2007-1840.
Plus de précisions :

Deux vulnérabilités ont été découvertes dans la version de ldap-account-manager livrée avec Debian 3.1 (Sarge).

  • CVE-2006-7191

    Une vulnérabilité dans la confiance accordée à la variable PATH pouvait permettre à un attaquant local d'exécuter du code arbitraire avec des droits supérieurs, en fournissant un exécutable « rm » malveillant et en indiquant une variable d'environnement PATH référençant cet exécutable.

  • CVE-2007-1840

    L'échappement incorrect de contenu HTML pouvait permettre à un attaquant d'effectuer des attaques par script intersites (« cross-site scripting attack (XSS) ») et d'exécuter du code arbitraire dans le navigateur web de la victime dans le même contexte de sécurité que celui du site touché.

Pour l'ancienne distribution stable (Sarge), ces problèmes ont été corrigés dans la version 0.4.9-2sarge1.

Les versions plus récentes de Debian (Etch, Lenny, et Sid) ne sont pas touchées.

Nous vous recommandons de mettre à jour votre paquet ldap-account-manager.

Corrigé dans :

Debian GNU/Linux 3.1 (oldstable)

Source :
http://security.debian.org/pool/updates/main/l/ldap-account-manager/ldap-account-manager_0.4.9-2sarge1.dsc
http://security.debian.org/pool/updates/main/l/ldap-account-manager/ldap-account-manager_0.4.9-2sarge1.diff.gz
http://security.debian.org/pool/updates/main/l/ldap-account-manager/ldap-account-manager_0.4.9.orig.tar.gz
Composant indépendant de l'architecture :
http://security.debian.org/pool/updates/main/l/ldap-account-manager/ldap-account-manager_0.4.9-2sarge1_all.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.