Рекомендация Debian по безопасности

DSA-073-1 imp -- три удалённых уязвимости

Дата сообщения:
11.08.2001
Затронутые пакеты:
imp
Уязвим:
Да
Ссылки на базы данных по безопасности:
В базе данных Bugtraq (на SecurityFocus): Идентификатор BugTraq 3082, Идентификатор BugTraq 3083.
В каталоге Mitre CVE: CVE-2001-1257, CVE-2001-1258, CVE-2001-1370.
Более подробная информация:
Команда Horde выпустила версию 2.2.6 IMP (почтовой веб-программы на основе IMAP), в которой исправлены три проблемы безопасности. В сообщении о выпуске эти уязвимости описываются следующим образом:
  1. Уязвимость PHPLIB позволяет злоумышленнику передавать значение для элемента массива $_PHPLIB[libdir], и, таким образом, получать для загрузки и выполнения сценарии с другого сервера. Эта уязвимость может использоваться удалённо. (Horde 1.2.x поставляется с собственной версией PHPLIB, на которую была наложена заплата с целью предотвращения указанной проблемы.)
  2. Используя особые коды для "javascript:", злоумышленник может вызывать запуск кода JavaScript в браузере пользователя, читающего сообщение, отправленное злоумышленником. (IMP 2.2.x уже фильтрует множество подобных шаблонов; теперь блокируются некоторые новые шаблоны, которые проходили имеющиеся фильтры.)
  3. Злоумышленник, который может создать файл с именем "prefs.lang", открытый для чтения для всех пользователей, где-нибудь на сервере Apache/PHP, может запустить этот файл как код на языке PHP. Таким образом, можно прочесть файлы настройки IMP, базу данных паролей Horde, используемых для чтения и изменения базы данных, используемой для хранения контактов и настроек, и т. д. Нам не кажется, что эту уязвимость можно напрямую удалённо использовать через Apache/PHP/IMP; тем не менее, доступ к командной оболочке сервера или какие-то другие виды доступа (например, FTP) могут использоваться для создания такого файла.

Эта проблема была исправлена в версии 2:2.2.6-0.potato.1. Заметьте, что вам также следует обновить пакет horde до той же самой версии.

Исправлено в:

Debian GNU/Linux 2.2 (potato)

Исходный код:
http://security.debian.org/dists/stable/updates/main/source/horde_1.2.6-0.potato.1.diff.gz
http://security.debian.org/dists/stable/updates/main/source/horde_1.2.6-0.potato.1.dsc
http://security.debian.org/dists/stable/updates/main/source/horde_1.2.6.orig.tar.gz
http://security.debian.org/dists/stable/updates/main/source/imp_2.2.6-0.potato.1.diff.gz
http://security.debian.org/dists/stable/updates/main/source/imp_2.2.6-0.potato.1.dsc
http://security.debian.org/dists/stable/updates/main/source/imp_2.2.6.orig.tar.gz
Независимые от архитектуры компоненты:
http://security.debian.org/dists/stable/updates/main/binary-all/horde_1.2.6-0.potato.1_all.deb
http://security.debian.org/dists/stable/updates/main/binary-all/imp_2.2.6-0.potato.1_all.deb

Контрольные суммы MD5 этих файлов доступны в исходном сообщении.