Рекомендация Debian по безопасности

DSA-340-1 x-face-el -- небезопасный временный файл

Дата сообщения:

06.07.2003

Затронутые пакеты:

x-face-el

Уязвим:

Да

Ссылки на базы данных по безопасности:

На данный момент ссылки на внешние базы данных по безопасности отсутствуют.

Более подробная информация:

ЗАМЕЧАНИЕ: по различным причинам административного характера это предложение было по ошибке выпущено с идентификатором "DSA-338-1". На самом деле идентификатор DSA-338-1 имеет более раннее предложение, касающееся proftpd.

x-face-el, декодер изображений, включённых в заголовок X-Face электронного письма, не предпринимает надлежащих мер безопасности при создании временных файлов. Эта ошибка потенциально может быть использована для перезаписи произвольных файлов с привилегиями пользователя, запустившего Emacs и x-face-el, содержимым (возможно, произвольным), созданным нападающим.

В стабильном дистрибутиве (woody) эта проблема исправлена в версии 1.3.6.19-1woody1.

В нестабильном дистрибутиве (sid) эта проблема исправлена в версии 1.3.6.23-1.

Мы рекомендуем вам обновить пакет x-face-el.

Исправлено в:

Debian GNU/Linux 3.0 (woody)

Исходный код:: http://security.debian.org/pool/updates/main/x/x-face-el/x-face-el_1.3.6.19-1woody1.dsc; http://security.debian.org/pool/updates/main/x/x-face-el/x-face-el_1.3.6.19-1woody1.diff.gz; http://security.debian.org/pool/updates/main/x/x-face-el/x-face-el_1.3.6.19.orig.tar.gz
Независимые от архитектуры компоненты:: http://security.debian.org/pool/updates/main/x/x-face-el/x-face-el_1.3.6.19-1woody1_all.deb

Контрольные суммы MD5 этих файлов доступны в исходном сообщении.