Bulletin d'alerte Debian

DSA-1429-1 htdig -- Script intersite

Date du rapport:

11 décembre 2007

Paquets concernés:

htdig

Vulnérabilité:

Oui

Références dans la base de données de sécurité:

Dans le système de suivi des bogues Debian : Bogue 453278.
Dans le dictionnaire CVE du Mitre : CVE-2007-6110.

Pour plus d'information:

Michael Skibbe a découvert que htdig, un système de recherche pour un intranet ou un petit site internet, ne protégeait pas correctement les valeurs soumises au script de recherche. Cela permet à un attaquant distant d'injecteur un script arbitraire ou du HTML dans des liens conçus spécialement.

Dans l'ancienne distribution stable (Sarge), ce problème n'est pas présent.

Pour la distribution stable (Etch), ce problème a été corrigé dans la version 1:3.2.0b6-3.1etch1.

Pour la distribution instable (Sid), ce problème a été corrigé dans la version 1:3.2.0b6-4.

Nous vous recommandons de mettre à jour votre paquet htdig.

Corrigé dans:

Debian GNU/Linux 4.0 (etch)

Source :: http://security.debian.org/pool/updates/main/h/htdig/htdig_3.2.0b6-3.1etch1.dsc; http://security.debian.org/pool/updates/main/h/htdig/htdig_3.2.0b6.orig.tar.gz; http://security.debian.org/pool/updates/main/h/htdig/htdig_3.2.0b6-3.1etch1.diff.gz
Composant indépendant de l'architecture :: http://security.debian.org/pool/updates/main/h/htdig/htdig-doc_3.2.0b6-3.1etch1_all.deb
Alpha:: http://security.debian.org/pool/updates/main/h/htdig/htdig_3.2.0b6-3.1etch1_alpha.deb
AMD64:: http://security.debian.org/pool/updates/main/h/htdig/htdig_3.2.0b6-3.1etch1_amd64.deb
ARM:: http://security.debian.org/pool/updates/main/h/htdig/htdig_3.2.0b6-3.1etch1_arm.deb
HP Precision:: http://security.debian.org/pool/updates/main/h/htdig/htdig_3.2.0b6-3.1etch1_hppa.deb
Intel IA-32:: http://security.debian.org/pool/updates/main/h/htdig/htdig_3.2.0b6-3.1etch1_i386.deb
Intel IA-64:: http://security.debian.org/pool/updates/main/h/htdig/htdig_3.2.0b6-3.1etch1_ia64.deb
Big-endian MIPS:: http://security.debian.org/pool/updates/main/h/htdig/htdig_3.2.0b6-3.1etch1_mips.deb
Little-endian MIPS:: http://security.debian.org/pool/updates/main/h/htdig/htdig_3.2.0b6-3.1etch1_mipsel.deb
PowerPC:: http://security.debian.org/pool/updates/main/h/htdig/htdig_3.2.0b6-3.1etch1_powerpc.deb
IBM S/390:: http://security.debian.org/pool/updates/main/h/htdig/htdig_3.2.0b6-3.1etch1_s390.deb
Sun Sparc:: http://security.debian.org/pool/updates/main/h/htdig/htdig_3.2.0b6-3.1etch1_sparc.deb

Les hachés MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.