Aviso de seguridad de Debian
DSA-404-1 rsync -- desbordamiento del montón
- Fecha del informe:
- 4 de dic de 2003
- Paquetes afectados:
- rsync
- Vulnerable:
- Sí
- Referencias a bases de datos de seguridad:
- En la base de datos de Bugtraq (en SecurityFocus): Id. en BugTraq 9153.
En el diccionario CVE de Mitre: CVE-2003-0962. - Información adicional:
-
El equipo de rsync, un programa rápido para copia de archivos remotos, ha recibido evidencias de que hay una vulnerabilidad en todas las versiones de rsync anteriores a la 2.5.7, que se usaba con una vulnerabilidad reciente del núcleo Linux para comprometer la seguridad de un servidor rsync público.
Aunque esta vulnerabilidad de desbordamiento del montón no se podía usar por sí misma para obtener acceso a root sobre servidores rsync, junto con la vulnerabilidad anunciada recientemente de do_brk() en el núcleo de Linux para producir un compromiso remoto completo.
Tenga en cuenta que esta vulnerabilidad únicamente afecta al uso de rsync como «servidor de rsync». Para ver si está corriendo un servidor rsync, puede usar el comando «netstat -a -n» para ver si está escuchando en el puerto TCP 873. Si no está escuchando el puerto 873, entonces no está corriendo ningún servidor rsync.
Para la distribución estable (woody), este problema se ha corregido en la versión 2.5.5-0.2.
Para la distribución inestable (sid), este problema se ha corregido en la versión 2.5.6-1.1.
Sin embargo, ya que la infraestructura de Debian aún no está plenamente operativa tras el ataque reciente, los paquetes de la distribución inestable no va a poder entrar en la distribución inestable durante un tiempo. Mientras tanto, están en su directorio de la máquina de seguridad.
Le recomendamos que actualice el paquete rsync inmediatamente si proporciona servicios de sincronización remota. Si está funcionando con testing y proporciona servicios de sincronización remota, haga el favor de usar los paquetes para woody.
- Arreglado en:
-
Debian GNU/Linux 3.0 (woody)
- Fuentes:
- http://security.debian.org/pool/updates/main/r/rsync/rsync_2.5.5-0.2.dsc
- http://security.debian.org/pool/updates/main/r/rsync/rsync_2.5.5-0.2.diff.gz
- http://security.debian.org/pool/updates/main/r/rsync/rsync_2.5.5.orig.tar.gz
- http://security.debian.org/pool/updates/main/r/rsync/rsync_2.5.5-0.2.diff.gz
- Alpha:
- http://security.debian.org/pool/updates/main/r/rsync/rsync_2.5.5-0.2_alpha.deb
- ARM:
- http://security.debian.org/pool/updates/main/r/rsync/rsync_2.5.5-0.2_arm.deb
- Intel IA-32:
- http://security.debian.org/pool/updates/main/r/rsync/rsync_2.5.5-0.2_i386.deb
- Intel IA-64:
- http://security.debian.org/pool/updates/main/r/rsync/rsync_2.5.5-0.2_ia64.deb
- HPPA:
- http://security.debian.org/pool/updates/main/r/rsync/rsync_2.5.5-0.2_hppa.deb
- Motorola 680x0:
- http://security.debian.org/pool/updates/main/r/rsync/rsync_2.5.5-0.2_m68k.deb
- Big endian MIPS:
- http://security.debian.org/pool/updates/main/r/rsync/rsync_2.5.5-0.2_mips.deb
- Little endian MIPS:
- http://security.debian.org/pool/updates/main/r/rsync/rsync_2.5.5-0.2_mipsel.deb
- PowerPC:
- http://security.debian.org/pool/updates/main/r/rsync/rsync_2.5.5-0.2_powerpc.deb
- Sun Sparc:
- http://security.debian.org/pool/updates/main/r/rsync/rsync_2.5.5-0.2_sparc.deb
Las sumas MD5 de los ficheros que se listan están disponibles en el aviso original.