Bulletin d'alerte Debian
DSA-209-1 wget -- Traversée de répertoire
- Date du rapport :
- 12 décembre 2002
- Paquets concernés :
- wget
- Vulnérabilité :
- Oui
- Références dans la base de données de sécurité :
- Dans la base de données de suivi des bogues (chez SecurityFocus) : Identifiant BugTraq 6352.
Dans le dictionnaire CVE du Mitre : CVE-2002-1344, CVE-2002-1565. - Plus de précisions :
-
Deux problèmes ont été trouvés dans le paquet wget distribué dans Debian GNU/Linux :
- Stefano Zacchiroli a trouvé un dépassement de tampon dans la fonction url_filename ce qui pourrait entraîner une erreur d'exécution (« segfault ») dans les adresses très longues ;
- Steven M. Christey a découvert que wget ne vérifiait pas la réponse du serveur FTP à une commande NLST : celle-ci ne doit pas contenir d'information de répertoire car ceci peut être utilisé pour rendre un client FTP capable d'écrire des fichiers arbitraires.
Ces deux problèmes ont été corrigés dans la version 1.5.3-3.1 pour Debian GNU/Linux 2.2 (Potato) et la version 1.8.1-6.1 pour Debian GNU/Linux 3.0 (Woody).
- Corrigé dans :
-
Debian GNU/Linux 2.2 (potato)
- Source :
- http://security.debian.org/pool/updates/main/w/wget/wget_1.5.3-3.1.diff.gz
- http://security.debian.org/pool/updates/main/w/wget/wget_1.5.3.orig.tar.gz
- http://security.debian.org/pool/updates/main/w/wget/wget_1.5.3-3.1.dsc
- http://security.debian.org/pool/updates/main/w/wget/wget_1.5.3.orig.tar.gz
- alpha (DEC Alpha):
- http://security.debian.org/pool/updates/main/w/wget/wget_1.5.3-3.1_alpha.deb
- arm (ARM):
- http://security.debian.org/pool/updates/main/w/wget/wget_1.5.3-3.1_arm.deb
- i386 (Intel ia32):
- http://security.debian.org/pool/updates/main/w/wget/wget_1.5.3-3.1_i386.deb
- m68k (Motorola Mc680x0):
- http://security.debian.org/pool/updates/main/w/wget/wget_1.5.3-3.1_m68k.deb
- powerpc (PowerPC):
- http://security.debian.org/pool/updates/main/w/wget/wget_1.5.3-3.1_powerpc.deb
- sparc (Sun SPARC/UltraSPARC):
- http://security.debian.org/pool/updates/main/w/wget/wget_1.5.3-3.1_sparc.deb
Debian GNU/Linux 3.0 (woody)
- Source :
- http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1.orig.tar.gz
- http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1.diff.gz
- http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1.dsc
- http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1.diff.gz
- alpha (DEC Alpha):
- http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1_alpha.deb
- arm (ARM):
- http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1_arm.deb
- hppa (HP PA RISC):
- http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1_hppa.deb
- i386 (Intel ia32):
- http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1_i386.deb
- ia64 (Intel ia64):
- http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1_ia64.deb
- m68k (Motorola Mc680x0):
- http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1_m68k.deb
- mips (MIPS (Big Endian)):
- http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1_mips.deb
- powerpc (PowerPC):
- http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1_powerpc.deb
- s390 (IBM S/390):
- http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1_s390.deb
- sparc (Sun SPARC/UltraSPARC):
- http://security.debian.org/pool/updates/main/w/wget/wget_1.8.1-6.1_sparc.deb
Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.