Bulletin d'alerte Debian

DLA-836-2 munin -- Mise à jour de sécurité pour LTS

Date du rapport :

3 mars 2017

Paquets concernés :

munin

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le système de suivi des bogues Debian : Bogue 856455, Bogue 856536.

Plus de précisions :

La mise à jour pour munin publiée sous le nom de DLA-836-1 causait une régression dans la fonction de zoom dans munin-cgi-graph. Les paquets mis à jour sont maintenant disponibles pour corriger ce problème. Pour référence, le texte de l’annonce originale suit.

Stevie Trujillo a découvert une vulnérabilité d’injection de commande dans munin, un cadriciel pour des graphiques de réseau. Le script CGI pour le dessin de graphiques permettait de passer des paramètres GET arbitraires à des commandes d’interpréteur local, permettant une exécution de commande en tant qu’utilisateur exécutant le serveur web.

Pour Debian 7 Wheezy, ces problèmes ont été corrigés dans la version 2.0.6-4+deb7u4.

Nous vous recommandons de mettre à jour vos paquets munin.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.