Debian-Sicherheitsankündigung

DSA-1406-1 horde3 -- Mehrere Verwundbarkeiten

Datum des Berichts:
09. Nov 2007
Betroffene Pakete:
horde3
Verwundbar:
Ja
Sicherheitsdatenbanken-Referenzen:
In der Debian-Fehlerdatenbank: Fehler 378281, Fehler 383416, Fehler 434045.
In Mitres CVE-Verzeichnis: CVE-2006-3548, CVE-2006-3549, CVE-2006-4256, CVE-2007-1473, CVE-2007-1474.
Weitere Informationen:

Mehrere entfernt ausnutzbare Verwundbarkeiten wurden im Horde-Web-Application-Framework entdeckt. Das Common Vulnerabilities and Exposures-Projekt identifiziert die folgenden Probleme:

  • CVE-2006-3548

    Moritz Naumann entdeckte, dass Horde entfernten Angreifern ermöglicht, beliebige Web-Skripte oder HTML-Code in den Inhalt für einen eingeloggten Benutzer einzuschleusen (Site-übergreifendes Skripting).

    Diese Verwundbarkeit betrifft nur die alte Stable-Distribution (Sarge).

  • CVE-2006-3549

    Moritz Naumann entdeckte, dass Horde seinen Bilder-Proxy nicht korrekt beschränkt, was es entfernten Angreifern ermöglicht, den Server als Proxy zu verwenden.

    Diese Verwundbarkeit betrifft nur die alte Stable-Distribution (Sarge).

  • CVE-2006-4256

    Marc Ruef entdeckte, dass Horde entfernten Angreifern ermöglicht, Web-Seiten von anderen Sites zu inkludieren, was für Phishing-Angriffe verwendet werden kann.

    Diese Verwundbarkeit betrifft nur die alte Stable-Distribution (Sarge).

  • CVE-2007-1473

    Moritz Naumann entdeckte, dass Horde entfernten Angreifern ermöglicht, beliebige Web-Skripte oder HTML-Code in den Inhalt für einen eingeloggten Benutzer einzuschleusen (Site-übergreifendes Skripting).

    Diese Verwundbarkeit betrifft die Stable-Distribution (Etch) und die alte Stable-Distribution (Sarge).

  • CVE-2007-1474

    iDefense entdeckte, dass das Aufräum-Cron-Skript in Horde lokalen Benutzern ermöglicht, beliebige Dateien zu löschen.

    Diese Verwundbarkeit betrifft nur die alte Stable-Distribution (Sarge).

Für die alte Stable-Distribution (Sarge) wurden diese Probleme in Version 3.0.4-4sarge6 behoben.

Für die Stable-Distribution (Etch) wurden diese Probleme in Version 3.1.3-4etch1 behoben.

Für die Unstable-Distribution (Sid) wurden diese Probleme in Version 3.1.4-1 behoben.

Wir empfehlen Ihnen, Ihr horde3-Paket zu aktualisieren.

Behoben in:

Debian GNU/Linux 3.1 (sarge)

Quellcode:
http://security.debian.org/pool/updates/main/h/horde3/horde3_3.0.4-4sarge6.dsc
http://security.debian.org/pool/updates/main/h/horde3/horde3_3.0.4-4sarge6.diff.gz
http://security.debian.org/pool/updates/main/h/horde3/horde3_3.0.4.orig.tar.gz
Architektur-unabhängige Dateien:
http://security.debian.org/pool/updates/main/h/horde3/horde3_3.0.4-4sarge6_all.deb

Debian GNU/Linux 4.0 (etch)

Quellcode:
http://security.debian.org/pool/updates/main/h/horde3/horde3_3.1.3-4etch1.dsc
http://security.debian.org/pool/updates/main/h/horde3/horde3_3.1.3-4etch1.diff.gz
http://security.debian.org/pool/updates/main/h/horde3/horde3_3.1.3.orig.tar.gz
Architektur-unabhängige Dateien:
http://security.debian.org/pool/updates/main/h/horde3/horde3_3.1.3-4etch1_all.deb

MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.