Alerta de Segurança Debian

DSA-404-1 rsync -- estouro de heap

Data do Alerta:
04 Dez 2003
Pacotes Afetados:
rsync
Vulnerável:
Sim
Referência à base de dados de segurança:
Na base de dados do BugTraq (na SecurityFocus): ID BugTraq 9153.
No dicionário CVE do Mitre: CVE-2003-0962.
Informações adicionais:

A equipe do rsync recebeu evidências que uma vulnerabilidade presente em todas as versões do rsync, um programa rápido para cópia remota de arquivos, anteriores à 2.5.7, foi usada recentemente em combinação com uma vulnerabilidade do kernel Linux para comprometer a segurança de um servidor rsync público.

Embora esta vulnerabilidade de estouro de heap não possa ser utilizada sozinha para obter acesso root em um servidor rsync, ela pode ser utilizada em combinação com a vulnerabilidade do_brk() anunciada recentemente no kernel Linux para produzir um comprometimento remoto completo.

Note que esta vulnerabilidade afeta somente o uso do rsync como um "servidor rsync". Para ver se você está rodando um servidor rsync, uso o comando "netstat -a -n" para ver se você está ouvindo na porta TCP 873. Se você não estiver rodando na porta TCP 873, você não está rodando um servidor rsync.

Para a distribuiçao estável (woody), este problema foi corrigido na versão 2.5.5-0.2.

Para a distribuição instável (sid), este problema foi corrigido na versão 2.5.6-1.1.

No entanto, como a infraestrutura do Debian ainda não está completamente funcional após a invasão recente, os pacotes da distribuição instável não entrarão no repositório por algum tempo. Portanto, eles foram colocados no diretório home do Joey na máquina da equipe de segurança.

Nós recomendamos que você atualize seu pacote rsync imediatamente caso esteja fornecendo serviços rsync remotos. Se você está rodando testing e fornece serviços rsync, utilize os pacotes para woody.

Corrigido em:

Debian GNU/Linux 3.0 (woody)

Fonte:
http://security.debian.org/pool/updates/main/r/rsync/rsync_2.5.5-0.2.dsc
http://security.debian.org/pool/updates/main/r/rsync/rsync_2.5.5-0.2.diff.gz
http://security.debian.org/pool/updates/main/r/rsync/rsync_2.5.5.orig.tar.gz
Alpha:
http://security.debian.org/pool/updates/main/r/rsync/rsync_2.5.5-0.2_alpha.deb
ARM:
http://security.debian.org/pool/updates/main/r/rsync/rsync_2.5.5-0.2_arm.deb
Intel IA-32:
http://security.debian.org/pool/updates/main/r/rsync/rsync_2.5.5-0.2_i386.deb
Intel IA-64:
http://security.debian.org/pool/updates/main/r/rsync/rsync_2.5.5-0.2_ia64.deb
HPPA:
http://security.debian.org/pool/updates/main/r/rsync/rsync_2.5.5-0.2_hppa.deb
Motorola 680x0:
http://security.debian.org/pool/updates/main/r/rsync/rsync_2.5.5-0.2_m68k.deb
Big endian MIPS:
http://security.debian.org/pool/updates/main/r/rsync/rsync_2.5.5-0.2_mips.deb
Little endian MIPS:
http://security.debian.org/pool/updates/main/r/rsync/rsync_2.5.5-0.2_mipsel.deb
PowerPC:
http://security.debian.org/pool/updates/main/r/rsync/rsync_2.5.5-0.2_powerpc.deb
Sun Sparc:
http://security.debian.org/pool/updates/main/r/rsync/rsync_2.5.5-0.2_sparc.deb

Checksums MD5 dos arquivos listados estão disponíveis no alerta original.