Debian-Sicherheitsankündigung

DSA-1465-2 apt-listchanges -- Programmierfehler

Datum des Berichts:

17. Jan 2008

Betroffene Pakete:

apt-listchanges

Verwundbar:

Sicherheitsdatenbanken-Referenzen:

In Mitres CVE-Verzeichnis: CVE-2008-0302.

Weitere Informationen:

Felipe Sateler entdeckte, dass apt-listchanges, ein Werkzeug zum Verfolgen von Paketänderungen, unsichere Pfade verwendet, wenn es seine Python-Bibliotheken importiert. Dies könnte die Ausführung beliebiger Shell-Kommandos ermöglichen, falls der Benutzer root das Kommando in einem Verzeichnis startet, auf das andere lokale Benutzer Schreibzugriff haben.

Die alte Stable-Distribution (Sarge) ist von diesem Problem nicht betroffen.

Für die Stable-Distribution (Etch) wurde dieses Problem in Version 2.72.5etch1 behoben.

Für die Unstable-Distribution (Sid) wurde dieses Problem in Version 2.82 behoben.

Wir empfehlen Ihnen, Ihr apt-listchanges-Paket zu aktualisieren.

Behoben in:

Debian GNU/Linux 4.0 (etch)

Quellcode:: http://security.debian.org/pool/updates/main/a/apt-listchanges/apt-listchanges_2.72.5etch2.tar.gz; http://security.debian.org/pool/updates/main/a/apt-listchanges/apt-listchanges_2.72.5etch2.dsc
Architektur-unabhängige Dateien:: http://security.debian.org/pool/updates/main/a/apt-listchanges/apt-listchanges_2.72.5etch2_all.deb

MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.