Debian セキュリティ勧告

DSA-229-1 imp -- SQL インジェクション

報告日時:

2003-01-15

影響を受けるパッケージ:

imp

危険性:

あり

参考セキュリティデータベース:

(SecurityFocus の) Bugtraq データベース: BugTraq ID 6559.
Mitre の CVE 辞書: CVE-2003-0025.

詳細:

Jouko Pynnonen さんにより、Web ベースの IMAP プログラムである IMP に問題が発見されました。注意深く作成された URL を用いることで、リモートの攻撃者が、適切な認証なしに SQL 問い合わせ中に SQL コードを差し込むことが可能です。この SQL クエリの結果を直接画面で見ることはできませんが、攻撃者から見たいクエリの結果を用いてメール署名を更新することが可能で、それを IMP の preferences ページで見ることができます。

SQL 挿入の影響は、バックエンドで使われているデータベースと、その設定に強く依存します。PostgreSQL が使われている場合、セミコロンで区切ることで複数の完全な SQL クエリを実行可能です。データベースにはセッション ID が格納されていますので、攻撃者はその時点で接続中のユーザのセッションを奪って、その人のメールを読むことが可能です。最悪の場合、hordemgr ユーザが COPY SQL コマンドを実行するに十分な特権を持っていた場合には、少なくとも PostgreSQL では、リモートユーザはデータベースユーザ (postgres) が読むことのできるデータを全て読み書き可能です。攻撃者はそのことを用いて、postgres ユーザの ~/.psqlrc にコマンドを書き込むことで任意のシェルコマンドの実行が可能です。~/.psqlrc はユーザが psql コマンドを実行する際に実行されますし、場合によっては cron スクリプトから定期的に実行されます。

現安定版 (stable) (woody) では、これはバージョン 2.2.6-5.1 で修正されています。

旧安定版 (potato) では、これはバージョン 2.2.6-0.potato.5.1 で修正されています。

不安定版 (unstable) (sid) では、これはバージョン 2.2.6-7 で修正予定です。

すぐに IMP パッケージをアップグレードすることを勧めます。

修正:

Debian GNU/Linux 2.2 (potato)

ソース:: http://security.debian.org/pool/updates/main/i/imp/imp_2.2.6-0.potato.5.1.dsc; http://security.debian.org/pool/updates/main/i/imp/imp_2.2.6-0.potato.5.1.diff.gz
アーキテクチャ非依存コンポーネント:: http://security.debian.org/pool/updates/main/i/imp/imp_2.2.6-0.potato.5.1_all.deb

Debian GNU/Linux 3.0 (woody)

ソース:: http://security.debian.org/pool/updates/main/i/imp/imp_2.2.6-5.1.dsc; http://security.debian.org/pool/updates/main/i/imp/imp_2.2.6-5.1.diff.gz
アーキテクチャ非依存コンポーネント:: http://security.debian.org/pool/updates/main/i/imp/imp_2.2.6-5.1_all.deb

一覧にあるファイルの MD5 チェックサムは勧告の原文にあります。

一覧にあるファイルの MD5 チェックサムは勧告の原文 (改訂版) にあります。