Debian-Sicherheitsankündigung

DSA-1465-2 apt-listchanges -- Programmierfehler

Datum des Berichts:
17. Jan 2008
Betroffene Pakete:
apt-listchanges
Verwundbar:
Ja
Sicherheitsdatenbanken-Referenzen:
In Mitres CVE-Verzeichnis: CVE-2008-0302.
Weitere Informationen:

Felipe Sateler entdeckte, dass apt-listchanges, ein Werkzeug zum Verfolgen von Paketänderungen, unsichere Pfade verwendet, wenn es seine Python-Bibliotheken importiert. Dies könnte die Ausführung beliebiger Shell-Kommandos ermöglichen, falls der Benutzer root das Kommando in einem Verzeichnis startet, auf das andere lokale Benutzer Schreibzugriff haben.

Die alte Stable-Distribution (Sarge) ist von diesem Problem nicht betroffen.

Für die Stable-Distribution (Etch) wurde dieses Problem in Version 2.72.5etch1 behoben.

Für die Unstable-Distribution (Sid) wurde dieses Problem in Version 2.82 behoben.

Wir empfehlen Ihnen, Ihr apt-listchanges-Paket zu aktualisieren.

Behoben in:

Debian GNU/Linux 4.0 (etch)

Quellcode:
http://security.debian.org/pool/updates/main/a/apt-listchanges/apt-listchanges_2.72.5etch2.tar.gz
http://security.debian.org/pool/updates/main/a/apt-listchanges/apt-listchanges_2.72.5etch2.dsc
Architektur-unabhängige Dateien:
http://security.debian.org/pool/updates/main/a/apt-listchanges/apt-listchanges_2.72.5etch2_all.deb

MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.