Säkerhetsbulletin från Debian

DSA-1891-1 changetrack -- exekvering av skalkommando

Rapporterat den:

2009-09-22

Berörda paket:

changetrack

Sårbara:

Referenser i säkerhetsdatabaser:

I Debians felrapporteringssystem: Fel 546791.
I Mitres CVE-förteckning: CVE-2009-3233.

Ytterligare information:

Marek Grzybowski upptäckte att changetrack, ett program som övervakar ändringar i (konfigurations)filer, är sårbart för injicering av skalkommandon med hjälp av metatecken i filnamn. Programmets beteende har ändrats till att avvisa alla filnamn med metatecken.

För den gamla stabila utgåvan (Etch) har detta problem rättats i version 4.3-3+etch1.

För den stabila utgåvan (Lenny) har detta problem rättats i version 4.3-3+lenny1.

För uttestningsutgåvan (Squeeze) kommer detta problem att rättas inom kort.

För den instabila utgåvan (Sid) har detta problem rättats i version 4.5-2.

Vi rekommenderar att ni uppgraderar era changetrack-paket.

Rättat i:

Debian GNU/Linux 4.0 (etch)

Källkod:: http://security.debian.org/pool/updates/main/c/changetrack/changetrack_4.3-3+etch1.diff.gz; http://security.debian.org/pool/updates/main/c/changetrack/changetrack_4.3-3+etch1.dsc
Arkitekturoberoende komponent:: http://security.debian.org/pool/updates/main/c/changetrack/changetrack_4.3-3+etch1_all.deb

Debian GNU/Linux 5.0 (lenny)

Källkod:: http://security.debian.org/pool/updates/main/c/changetrack/changetrack_4.3.orig.tar.gz; http://security.debian.org/pool/updates/main/c/changetrack/changetrack_4.3-3+lenny1.diff.gz; http://security.debian.org/pool/updates/main/c/changetrack/changetrack_4.3-3+lenny1.dsc
Arkitekturoberoende komponent:: http://security.debian.org/pool/updates/main/c/changetrack/changetrack_4.3-3+lenny1_all.deb

MD5-kontrollsummor för dessa filer finns i originalbulletinen.