Рекомендация Debian по безопасности

cvsweb -- неавторизованное удалённое выполнение кода

Дата сообщения:
16.07.2000
Затронутые пакеты:
cvsweb
Уязвим:
Да
Ссылки на базы данных по безопасности:
В каталоге Mitre CVE: CVE-2000-0670.
Более подробная информация:
Версии cvsweb, поставляемые в Debian GNU/Linux 2.1 (slink), а также в замороженном (potato) и нестабильно (woody) выпуска содержат уязвимость командной оболочки, которая может использоваться удалённо. Злоумышленник с правом на запись к репозиторию cvs может выполнить на сервере произвольный код от лица пользователя www-data.

Данная уязвимость была исправлена в версии 109 пакета cvsweb для текущего стабильного выпуска (Debian GNU/Linux 2.1), в версии 1.79-3potato1 для замороженного выпуска и в версии 1.86-1 для нестабильного выпуска.

Исправлено в:

Debian GNU/Linux 2.1 (slink):

Исходный код:
http://security.debian.org/dists/slink/updates/source/cvsweb_109.dsc
http://security.debian.org/dists/slink/updates/source/cvsweb_109.tar.gz
Независимые от архитектуры компоненты:
http://security.debian.org/dists/slink/updates/binary-all/cvsweb_109_all.deb

Debian GNU/Linux 2.2 (potato):

Исходный код:
http://http.us.debian.org/debian/dists/potato/main/source/devel/cvsweb_1.79-3potato1.diff.gz
http://http.us.debian.org/debian/dists/potato/main/source/devel/cvsweb_1.79-3potato1.dsc
http://http.us.debian.org/debian/dists/potato/main/source/devel/cvsweb_1.79.orig.tar.gz
Независимые от архитектуры компоненты:
http://http.us.debian.org/debian/dists/potato/main/binary-all/devel/cvsweb_1.79-3potato1.deb