Debian-Sicherheitsankündigung
DSA-674-3 mailman -- Site-übergreifendes Skripting, Verzeichnisüberschreitung
- Datum des Berichts:
- 21. Feb 2005
- Betroffene Pakete:
- mailman
- Verwundbar:
- Ja
- Sicherheitsdatenbanken-Referenzen:
- In Mitres CVE-Verzeichnis: CVE-2004-1177, CVE-2005-0202.
- Weitere Informationen:
-
Auf Grund einer Inkompatibilität zwischen Python 1.5 und 2.1 lief die letzte Aktualisierung von mailman nicht mehr mit Python 1.5. Dieses Problem wird mit dieser Aktualisierung behoben. Diese Ankündigung aktualisiert lediglich die Pakete, die mit der DSA 674-2 bereits aktualisiert wurden. Die Version in Unstable ist nicht betroffen, da sie nicht mehr unter Python 1.5 arbeitet. Der Vollständigkeit halber ist unten der Text der ursprünglichen Ankündigung wiedergegeben:
Zwei sicherheitsrelevante Probleme wurden in mailman entdeckt, dem webbasierten GNU Mailinglisten-Manager. Das
Common Vulnerabilities and Exposures project
identifiziert die folgenden Probleme:- CAN-2004-1177
Florian Weimer entdeckte eine Verwundbarkeit durch Site-übergreifendes Skripting in den automatisch erzeugten Fehlernachrichten von mailman. Ein Angreifer kann eine URL präparieren, die JavaScript (oder andere Inhalte, die in HTML eingebettet sind) enthält. Diese löst eine Fehlerseite von mailman aus, die den bösartigen Code ungefiltert enthält.
- CAN-2005-0202
Mehrere Listmaster haben unautorisierten Zugriff auf Archive von privaten Listen sowie die Listenkonfiguration selbst, einschließlich der Benutzerpasswörter, bemerkt. Administratoren werden darauf hingewiesen, die Webserver-Logdateien auf Anfragen zu überprüfen, die
/...../
und den Pfad zu den Archiven oder der Konfiguration enthalten. Dies scheint nur Installationen zu betreffen, die auf Webservern laufen, die Querstriche (Slashes
) nicht ausfiltern, so wie Apache 1.3.
Für die Stable-Distribution (Woody) wurden diese Probleme in Version 2.0.11-1woody11 behoben.
Für die Unstable-Distribution (Sid) wurden diese Probleme in Version 2.1.5-6 behoben.
Wir empfehlen Ihnen, Ihr mailman-Paket zu aktualisieren.
- CAN-2004-1177
- Behoben in:
-
Debian GNU/Linux 3.0 (woody)
- Quellcode:
- http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody11.dsc
- http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody11.diff.gz
- http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11.orig.tar.gz
- http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody11.diff.gz
- Alpha:
- http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody11_alpha.deb
- ARM:
- http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody11_arm.deb
- Intel IA-32:
- http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody11_i386.deb
- Intel IA-64:
- http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody11_ia64.deb
- HPPA:
- http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody11_hppa.deb
- Motorola 680x0:
- http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody11_m68k.deb
- Big endian MIPS:
- http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody11_mips.deb
- Little endian MIPS:
- http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody11_mipsel.deb
- PowerPC:
- http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody11_powerpc.deb
- IBM S/390:
- http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody11_s390.deb
- Sun Sparc:
- http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody11_sparc.deb
MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.
MD5-Prüfsummen der aufgezählten Dateien stehen in der überarbeiteten Sicherheitsankündigung zur Verfügung.
MD5-Prüfsummen der aufgezählten Dateien stehen in der überarbeiteten Sicherheitsankündigung zur Verfügung.