Debian-Sicherheitsankündigung

DSA-1467-1 mantis -- Mehrere Verwundbarkeiten

Datum des Berichts:

19. Jan 2008

Betroffene Pakete:

mantis

Verwundbar:

Sicherheitsdatenbanken-Referenzen:

In der Debian-Fehlerdatenbank: Fehler 402802, Fehler 458377.
In Mitres CVE-Verzeichnis: CVE-2006-6574, CVE-2007-6611.

Weitere Informationen:

Mehrere entfernt ausnutzbare Verwundbarkeiten wurden in Mantis, einem Web-basierten Fehlerverfolgungssystem, entdeckt. Das Common Vulnerabilities and Exposures-Projekt identifiziert die folgenden Probleme:

CVE-2006-6574
Benutzerspezifizierte Felder wurden nicht geeignet mittels Item-spezifischen Zugriffskontrollen geschützt, was die Offenlegung sensibler Daten ermöglicht.
CVE-2007-6611
Mehrere Site-übergreifende Skripting-Probleme ermöglichten einem entfernten Angreifer, bösartigen HTML-Code oder Web-Skripte in Mantis-Web-Seiten einzuschleusen.

Für die alte Stable-Distribution (Sarge) wurden diese Probleme in Version 0.19.2-5sarge5 behoben.

Die Stable-Distribution (Etch) ist von diesen Problemen nicht betroffen.

Für die Unstable-Distribution (Sid) wurden diese Probleme in Version 1.0.8-4 behoben.

Wir empfehlen Ihnen, Ihr mantis-Paket zu aktualisieren.

Behoben in:

Debian GNU/Linux 3.1 (sarge)

Quellcode:: http://security.debian.org/pool/updates/main/m/mantis/mantis_0.19.2-5sarge5.dsc; http://security.debian.org/pool/updates/main/m/mantis/mantis_0.19.2.orig.tar.gz; http://security.debian.org/pool/updates/main/m/mantis/mantis_0.19.2-5sarge5.diff.gz
Architektur-unabhängige Dateien:: http://security.debian.org/pool/updates/main/m/mantis/mantis_0.19.2-5sarge5_all.deb

MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.