Debian-Sicherheitsankündigung

DSA-079-2 uucp -- UUCP UID/GID-Zugriff

Datum des Berichts:
08. Feb 2002
Betroffene Pakete:
uucp
Verwundbar:
Ja
Sicherheitsdatenbanken-Referenzen:
In der Bugtraq-Datenbank (bei SecurityFocus): BugTraq ID 3312.
In Mitres CVE-Verzeichnis: CVE-2001-0873.
Weitere Informationen:

Zenith Parsec entdeckte eine Sicherheitslücke in Taylor UUCP 1.06.1. Es erlaubte einem lokalen Benutzer jede Datei irgendwohin zu kopieren, die schreibbar für die Benutzer-ID "uucp" ist, was dazu führen kann, dass ein lokaler Benutzer das UUCP Sub-System unterwandern kann, inklusive dem Stehlen von Mails, usw.

Wenn ein entfernter Benutzer die Möglichkeit hat, Dateien auf dem lokalen System zu erstellen, und erfolgreich bestimmte Dinge über die lokale Verzeichnis-Struktur erraten kann, dann kann ein entfernter Benutzer ebenfalls das UUCP-System unterwandern. Eine Standard-Installation von UUCP erlaubt einem entfernten Benutzer, Dateien auf dem lokalen System zu erstellen, wenn ein öffentliches UUCP-Verzeichnis mit Schreibberechtigung für jeden erstellt wurde.

Offensichtlich ist diese Sicherheitslücke für jeden ernst, der UUCP auf einem Mehr-Benutzer System mit nicht vertrauenswürdigen Benutzern verwendet, oder jeden, der UUCP verwendet und Verbindungen von nicht vertrauenswürdigen entfernten Systemen zulässt.

Man dachte, dass dieses Problem mit DSA 079-1 behoben wurde, aber das behob nicht alle Arten des Problems. Das Problem ist in Version 1.06.1-11potato2 von uucp behoben, die einen Patch vom Upstream-Autor Ian Lance Taylor verwendet.

Wir empfehlen, dass Sie Ihr uucp-Paket umgehend aktualisieren.

Behoben in:

Debian GNU/Linux 2.2 (potato)

Quellcode:
http://security.debian.org/dists/stable/updates/main/source/uucp_1.06.1-11potato2.diff.gz
http://security.debian.org/dists/stable/updates/main/source/uucp_1.06.1-11potato2.dsc
http://security.debian.org/dists/stable/updates/main/source/uucp_1.06.1.orig.tar.gz
Alpha:
http://security.debian.org/dists/stable/updates/main/binary-alpha/uucp_1.06.1-11potato2_alpha.deb
ARM:
http://security.debian.org/dists/stable/updates/main/binary-arm/uucp_1.06.1-11potato2_arm.deb
Intel ia32:
http://security.debian.org/dists/stable/updates/main/binary-i386/uucp_1.06.1-11potato2_i386.deb
Motorola 680x0:
http://security.debian.org/dists/stable/updates/main/binary-m68k/uucp_1.06.1-11potato2_m68k.deb
PowerPC:
http://security.debian.org/dists/stable/updates/main/binary-powerpc/uucp_1.06.1-11potato2_powerpc.deb
Sun Sparc:
http://security.debian.org/dists/stable/updates/main/binary-sparc/uucp_1.06.1-11potato2_sparc.deb

MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.