Debian-Sicherheitsankündigung

DSA-146-2 dietlibc -- Integer-Überlauf

Datum des Berichts:

08. Aug 2002

Betroffene Pakete:

Verwundbar:

Sicherheitsdatenbanken-Referenzen:

In der Bugtraq-Datenbank (bei SecurityFocus): BugTraq ID 5356.
In Mitres CVE-Verzeichnis: CVE-2002-0391.
CERTs Verwundbarkeiten, Hinweise und Ereignis-Notizen: VU#192995.

Weitere Informationen:

Ein Integer-Überlauf wurde in der von dietlibc, einer für geringe Größe optimierten libc, verwendeten RPC-Bibliothek entdeckt, die von der SunRPC-Bibliothek abgeleitet ist. Dieser Fehler könnte dazu ausgenutzt werden, unberechtigten root-Zugriff durch Software zu erlangen, die gegen diesen Code gelinkt ist. Die Pakete unterhalb beheben ebenfalls Integer-Überläufe im calloc-, fread- und fwrite-Code. Sie sind ebenfalls strenger zu feindseligen DNS-Paketen, die anderenfalls zu einer Verwundbarkeit führen könnten.

Diese Probleme wurden in Version 0.12-2.4 für die aktuelle stable Distribution (Woody) und in Version 0.20-0cvs20020808 für die unstable Distribution (Sid) behoben. Debian 2.2 (Potato) ist nicht davon betroffen, da es keine dietlibc-Pakete enthält.

Wir empfehlen Ihnen, Ihre dietlibc-Pakete unverzüglich zu aktualisieren.

Behoben in:

Debian GNU/Linux 3.0 (woody)

Quellcode:: http://security.debian.org/pool/updates/main/d/dietlibc/dietlibc_0.12-2.4.dsc; http://security.debian.org/pool/updates/main/d/dietlibc/dietlibc_0.12-2.4.diff.gz; http://security.debian.org/pool/updates/main/d/dietlibc/dietlibc_0.12.orig.tar.gz
Architektur-unabhängige Dateien:: http://security.debian.org/pool/updates/main/d/dietlibc/dietlibc-doc_0.12-2.4_all.deb
Alpha:: http://security.debian.org/pool/updates/main/d/dietlibc/dietlibc-dev_0.12-2.4_alpha.deb
ARM:: http://security.debian.org/pool/updates/main/d/dietlibc/dietlibc-dev_0.12-2.4_arm.deb
Intel IA-32:: http://security.debian.org/pool/updates/main/d/dietlibc/dietlibc-dev_0.12-2.4_i386.deb
Big endian MIPS:: http://security.debian.org/pool/updates/main/d/dietlibc/dietlibc-dev_0.12-2.4_mips.deb
Little endian MIPS:: http://security.debian.org/pool/updates/main/d/dietlibc/dietlibc-dev_0.12-2.4_mipsel.deb
PowerPC:: http://security.debian.org/pool/updates/main/d/dietlibc/dietlibc-dev_0.12-2.4_powerpc.deb
Sun Sparc:: http://security.debian.org/pool/updates/main/d/dietlibc/dietlibc-dev_0.12-2.4_sparc.deb

MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.