Säkerhetsbulletin från Debian

DSA-1792-1 drupal6 -- flera sårbarheter

Rapporterat den:

2009-05-06

Berörda paket:

drupal6

Sårbara:

Referenser i säkerhetsdatabaser:

I Debians felrapporteringssystem: Fel 526378.
I Mitres CVE-förteckning: CVE-2009-1575, CVE-2009-1576.

Ytterligare information:

Flera sårbarheter har upptäckts i drupal, ett webbinnehållshanteringssystem. Projektet Common Vulnerabilities and Exposures identifierar följande problem:

CVE-2009-1575
pod.Edge upptäckte en serveröverskridande skriptsårbarhet som kan startas när några webbläsare tolkar UTF-8-strängar som UTF-7 om de förekommer innan det genererade HTML-dokumentet definierar sitt Content-Type-huvud. detta tillåter en illvillig användare att exekvera godtycklig javascript i webbplatsens miljö om de tillåts posta innehåll.
CVE-2009-1576
Moritz Naumann upptäckte en informationsläckagesårbarhet. Om en användare förmås besöka platsen via en specialskriven URL och sedan skickar ett formulär (såsom sökfältet) från den sidan, kan informationen i deras formulär omdirigeras till en tredje persons plats som anges i URL:en och därmed avslöjas för den tredje personen. Den tredje personens plats kan sedan utföra ett serveröverskridande förfrågeförfalskningsangrepp mot det inskickade formuläret.

Den gamla stabila utgåvan (Etch) innehåller inte drupal och påverkas inte.

För den stabila utgåvan (Lenny) har dessa problem rättats i version 6.6-3lenny1.

För den instabila utgåvan (Sid) har dessa problem rättats i version 6.11-1

Vi rekommenderar att ni uppgraderar ert drupal6-paket.

Rättat i:

Debian GNU/Linux 5.0 (lenny)

Källkod:: http://security.debian.org/pool/updates/main/d/drupal6/drupal6_6.6-3lenny1.dsc; http://security.debian.org/pool/updates/main/d/drupal6/drupal6_6.6.orig.tar.gz; http://security.debian.org/pool/updates/main/d/drupal6/drupal6_6.6-3lenny1.diff.gz
Arkitekturoberoende komponent:: http://security.debian.org/pool/updates/main/d/drupal6/drupal6_6.6-3lenny1_all.deb

MD5-kontrollsummor för dessa filer finns i originalbulletinen.