Debian セキュリティ勧告

DSA-2801-1 libhttp-body-perl -- 設計上の誤り

報告日時:
2013-11-21
影響を受けるパッケージ:
libhttp-body-perl
危険性:
あり
参考セキュリティデータベース:
Debian バグ追跡システム: バグ 721634.
Mitre の CVE 辞書: CVE-2013-4407.
詳細:

Jonathan Dolle さんが HTTP::Body、HTTP POST リクエストからのデータを処理する Perl モジュールに設計上の誤りを報告しています。HTTP::Body::Multipart のパーサは一時ファイルを作成してアップロードされたファイルの接尾辞を保持しています。 HTTP::Body::Multipart を利用しているサービスにファイルをアップロードできる攻撃者は、 それ以上の確認が行われずにこの一時ファイル名がそれ以後のコマンドで利用された場合、 潜在的にサーバ上でコマンドを実行できます。

この更新では作成される一時ファイルで利用できる接尾辞を制限します。

旧安定版 (oldstable) ディストリビューション (squeeze) にはこの問題による影響はありません。

安定版 (stable) ディストリビューション (wheezy) では、この問題はバージョン 1.11-1+deb7u1 で修正されています。

テスト版 (testing) ディストリビューション (jessie) では、この問題はバージョン 1.17-2 で修正されています。

不安定版 (unstable) ディストリビューション (sid) では、この問題はバージョン 1.17-2 で修正されています。

直ちに libhttp-body-perl パッケージをアップグレードすることを勧めます。