Debian セキュリティ勧告

DSA-249-1 w3mmee -- HTML のクオート処理の抜け

報告日時:
2003-02-11
影響を受けるパッケージ:
w3mmee
危険性:
あり
参考セキュリティデータベース:
Mitre の CVE 辞書: CVE-2002-1335, CVE-2002-1348.
詳細:

w3m 開発者の一人である坂本浩則さんにより、2つのセキュリティ上の 脆弱性が w3m および関連プログラムに発見されました。 w3m ブラウザは、フレーム用ソースの HTML タグ、および img タグの alt 属性を完全にはエスケープできていませんでした。 悪意ある HTML 文書のフレームまたは img 要素の alt 属性を 用いてユーザを騙し、設定に使われているユーザのローカルのクッキー を送信させることができます。 但し、この情報は自動的に送信されるわけではありません。

現安定版 (stable) (woody) では、これらの問題は、バージョン 0.3.p23.3-1.5 で修正されています。 このアップデートには powerpc プラットフォームで再びこのプログラムが 動作するための重要なパッチが含まれていることにご留意ください。

旧安定版 (potato) は、これらの問題の影響を受けません。

不安定版 (unstable) (sid) では、バージョン 0.3.p24.17-3 およびそれ以降の バージョンで修正されています。

w3mmee パッケージをアップグレードすることをお勧めします。

修正:

Debian GNU/Linux 3.0 (woody)

ソース:
http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee_0.3.p23.3-1.5.dsc
http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee_0.3.p23.3-1.5.diff.gz
http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee_0.3.p23.3.orig.tar.gz
Alpha:
http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee_0.3.p23.3-1.5_alpha.deb
http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee-img_0.3.p23.3-1.5_alpha.deb
ARM:
http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee_0.3.p23.3-1.5_arm.deb
http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee-img_0.3.p23.3-1.5_arm.deb
Intel IA-32:
http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee_0.3.p23.3-1.5_i386.deb
http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee-img_0.3.p23.3-1.5_i386.deb
Intel IA-64:
http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee_0.3.p23.3-1.5_ia64.deb
http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee-img_0.3.p23.3-1.5_ia64.deb
HPPA:
http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee_0.3.p23.3-1.5_hppa.deb
http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee-img_0.3.p23.3-1.5_hppa.deb
Motorola 680x0:
http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee_0.3.p23.3-1.5_m68k.deb
http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee-img_0.3.p23.3-1.5_m68k.deb
Big endian MIPS:
http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee_0.3.p23.3-1.5_mips.deb
http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee-img_0.3.p23.3-1.5_mips.deb
Little endian MIPS:
http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee_0.3.p23.3-1.5_mipsel.deb
http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee-img_0.3.p23.3-1.5_mipsel.deb
PowerPC:
http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee_0.3.p23.3-1.5_powerpc.deb
http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee-img_0.3.p23.3-1.5_powerpc.deb
IBM S/390:
http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee_0.3.p23.3-1.5_s390.deb
http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee-img_0.3.p23.3-1.5_s390.deb
Sun Sparc:
http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee_0.3.p23.3-1.5_sparc.deb
http://security.debian.org/pool/updates/main/w/w3mmee/w3mmee-img_0.3.p23.3-1.5_sparc.deb

一覧にあるファイルの MD5 チェックサムは勧告の原文にあります。