Säkerhetsbulletin från Debian

DSA-2649-1 lighttpd -- fixat socketnamn i mapp som är skrivbar av alla

Rapporterat den:

2013-03-15

Berörda paket:

lighttpd

Sårbara:

Referenser i säkerhetsdatabaser:

I Mitres CVE-förteckning: CVE-2013-1427.

Ytterligare information:

Stefan Bühler upptäckte att en Debianspecifik konfigurationsfil för webbservern lighttpd FastCGI PHP-stöd använde ett socket-namn i mappen /tmp som är skrivbar av alla. En symlänkattack eller en kapplöpningseffekt skulle kunna utnyttjas av en illvillig användare på samma maskin för att ta över PHP-kontrollsocketen och till exempel tvinga webbservern att utnyttja en annan PHP-version.

Eftersom fixen är i en konfigurationsfil som ligger i /etc, så kommer inte uppdateringen påtvingas om filen har ändrats av administratören. I sådana fall bör noggrannhet tillämpas för att tillämpa rättningen.

För den stabila utgåvan (Squeeze) har detta problem rättats i version 1.4.28-2+squeeze1.3.

För uttestningsutgåvan (Wheezy) har detta problem rättats i version 1.4.31-4.

För den instabila utgåvan (Sid) har detta problem rättats i version 1.4.31-4.

Vi rekommenderar att ni uppgraderar era lighttpd-paket.