Debian-Sicherheitsankündigung

DSA-1518-1 backup-manager -- Programmierfehler

Datum des Berichts:

15. Mär 2008

Betroffene Pakete:

backup-manager

Verwundbar:

Sicherheitsdatenbanken-Referenzen:

In der Debian-Fehlerdatenbank: Fehler 439392.
In Mitres CVE-Verzeichnis: CVE-2007-4656.

Weitere Informationen:

Micha Lenk entdeckte, dass backup-manager, ein kommandozeilenbasiertes Backup-Werkzeug, das Passwort als Kommandozeilenargument angibt, wenn es einen FTP-Client aufruft. Dies könnte es einem lokalen Angreifer ermöglichen, dieses Passwort aus der Prozessliste auszulesen (was Zugang zu allen gesicherten Dateien ermöglicht).

Für die alte Stable-Distribution (Sarge) wurde dieses Problem in Version 0.5.7-1sarge2 behoben.

Für die Stable-Distribution (Etch) wurde dieses Problem in Version 0.7.5-4 behoben.

Für die Unstable-Distribution (Sid) wurde dieses Problem in Version 0.7.6-3 behoben.

Wir empfehlen Ihnen, Ihr backup-manager-Paket zu aktualisieren.

Behoben in:

Debian GNU/Linux 3.1 (sarge)

Quellcode:: http://security.debian.org/pool/updates/main/b/backup-manager/backup-manager_0.5.7-1sarge2.dsc; http://security.debian.org/pool/updates/main/b/backup-manager/backup-manager_0.5.7.orig.tar.gz; http://security.debian.org/pool/updates/main/b/backup-manager/backup-manager_0.5.7-1sarge2.diff.gz
Architektur-unabhängige Dateien:: http://security.debian.org/pool/updates/main/b/backup-manager/backup-manager_0.5.7-1sarge2_all.deb

Debian GNU/Linux 4.0 (etch)

Quellcode:: http://security.debian.org/pool/updates/main/b/backup-manager/backup-manager_0.7.5-4.dsc; http://security.debian.org/pool/updates/main/b/backup-manager/backup-manager_0.7.5.orig.tar.gz; http://security.debian.org/pool/updates/main/b/backup-manager/backup-manager_0.7.5-4.diff.gz
Architektur-unabhängige Dateien:: http://security.debian.org/pool/updates/main/b/backup-manager/backup-manager-doc_0.7.5-4_all.deb; http://security.debian.org/pool/updates/main/b/backup-manager/backup-manager_0.7.5-4_all.deb

MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.