Debian-Sicherheitsankündigung

DSA-1467-1 mantis -- Mehrere Verwundbarkeiten

Datum des Berichts:
19. Jan 2008
Betroffene Pakete:
mantis
Verwundbar:
Ja
Sicherheitsdatenbanken-Referenzen:
In der Debian-Fehlerdatenbank: Fehler 402802, Fehler 458377.
In Mitres CVE-Verzeichnis: CVE-2006-6574, CVE-2007-6611.
Weitere Informationen:

Mehrere entfernt ausnutzbare Verwundbarkeiten wurden in Mantis, einem Web-basierten Fehlerverfolgungssystem, entdeckt. Das Common Vulnerabilities and Exposures-Projekt identifiziert die folgenden Probleme:

  • CVE-2006-6574

    Benutzerspezifizierte Felder wurden nicht geeignet mittels Item-spezifischen Zugriffskontrollen geschützt, was die Offenlegung sensibler Daten ermöglicht.

  • CVE-2007-6611

    Mehrere Site-übergreifende Skripting-Probleme ermöglichten einem entfernten Angreifer, bösartigen HTML-Code oder Web-Skripte in Mantis-Web-Seiten einzuschleusen.

Für die alte Stable-Distribution (Sarge) wurden diese Probleme in Version 0.19.2-5sarge5 behoben.

Die Stable-Distribution (Etch) ist von diesen Problemen nicht betroffen.

Für die Unstable-Distribution (Sid) wurden diese Probleme in Version 1.0.8-4 behoben.

Wir empfehlen Ihnen, Ihr mantis-Paket zu aktualisieren.

Behoben in:

Debian GNU/Linux 3.1 (sarge)

Quellcode:
http://security.debian.org/pool/updates/main/m/mantis/mantis_0.19.2-5sarge5.dsc
http://security.debian.org/pool/updates/main/m/mantis/mantis_0.19.2.orig.tar.gz
http://security.debian.org/pool/updates/main/m/mantis/mantis_0.19.2-5sarge5.diff.gz
Architektur-unabhängige Dateien:
http://security.debian.org/pool/updates/main/m/mantis/mantis_0.19.2-5sarge5_all.deb

MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.