Bulletin d'alerte Debian

DSA-249-1 w3mmee -- Mauvaise interprétation HTML

Date du rapport :

11 février 2003

Paquets concernés :

w3mmee

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2002-1335, CVE-2002-1348.

Plus de précisions :

Hironori Sakamoto, un des développeurs w3m, a trouvé deux failles de sécurité dans w3m et autres programmes associés. Le navigateur w3m n'échappe pas proprement les balises HTML dans le contenu de cadre (frame) et dans les attributs alt pour img. Un cadre HTML ou un attribut alt conçu à dessein pourrait faire envoyer les témoins locaux utilisés pour la configuration à l'insu de l'utilisateur. L'information ne fuit pas automatiquement, cependant.

Pour la distribution stable (Woody), ce problème a été corrigé dans la version 0.3.p23.3-1.5. Veuillez noter que la mise à jour contient aussi une rustine importante pour faire fonctionner le programme sur powerpc de nouveau.

L'ancienne distribution stable (Potato) n'est pas affectée par ces problèmes.

Pour la distribution instable (Sid), ce problème a été corrigé dans la version 0.3.p24.17-3 et ultérieure.

Nous vous recommandons de mettre à jour vos paquets w3mmee.

Corrigé dans :

Debian GNU/Linux 3.0 (woody)

Source :: http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee_0.3.p23.3-1.5.dsc; http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee_0.3.p23.3-1.5.diff.gz; http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee_0.3.p23.3.orig.tar.gz
Alpha:: http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee_0.3.p23.3-1.5_alpha.deb; http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee-img_0.3.p23.3-1.5_alpha.deb
ARM:: http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee_0.3.p23.3-1.5_arm.deb; http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee-img_0.3.p23.3-1.5_arm.deb
Intel IA-32:: http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee_0.3.p23.3-1.5_i386.deb; http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee-img_0.3.p23.3-1.5_i386.deb
Intel IA-64:: http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee_0.3.p23.3-1.5_ia64.deb; http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee-img_0.3.p23.3-1.5_ia64.deb
HPPA:: http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee_0.3.p23.3-1.5_hppa.deb; http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee-img_0.3.p23.3-1.5_hppa.deb
Motorola 680x0:: http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee_0.3.p23.3-1.5_m68k.deb; http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee-img_0.3.p23.3-1.5_m68k.deb
Big endian MIPS:: http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee_0.3.p23.3-1.5_mips.deb; http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee-img_0.3.p23.3-1.5_mips.deb
Little endian MIPS:: http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee_0.3.p23.3-1.5_mipsel.deb; http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee-img_0.3.p23.3-1.5_mipsel.deb
PowerPC:: http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee_0.3.p23.3-1.5_powerpc.deb; http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee-img_0.3.p23.3-1.5_powerpc.deb
IBM S/390:: http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee_0.3.p23.3-1.5_s390.deb; http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee-img_0.3.p23.3-1.5_s390.deb
Sun Sparc:: http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee_0.3.p23.3-1.5_sparc.deb; http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee-img_0.3.p23.3-1.5_sparc.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.