Bulletin d'alerte Debian

DSA-674-3 mailman -- Vulnérabilité de script sur les éléments dynamiques, traversée du répertoire

Date du rapport :

21 février 2005

Paquets concernés :

mailman

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2004-1177, CVE-2005-0202.

Plus de précisions :

En raison d'une incompatibilité entre Python 1.5 et 2.1, la dernière mise à jour de mailman ne fonctionne plus avec Python 1.5. Cette mise à jour corrige ce problème. Ce bulletin d'alerte actualise seulement les paquets précédemment mis à jour dans le DSA 674-2. La version de la distribution instable (Sid) n'est pas touchée puisqu'elle n'est plus supposée fonctionner avec Python 1.5. Voici l'intégralité du bulletin officiel :

Deux problèmes liés à la sécurité ont été découverts dans mailman, le gestionnaire web de listes de diffusion du projet GNU. Le projet « Common Vulnerabilities and Exposures » a identifié les problèmes suivants :

CAN-2004-1177
Florian Weimer a découvert une vulnérabilité de script sur les éléments dynamiques dans certains messages d'erreur automatiques de mailman. Un attaquant pouvait concevoir une URL contenant du JavaScript (ou d'autres contenus incorporés dans HTML) qui déclenchait une page d'erreur mailman incluant le code malicieux tel quel.

CAN-2005-0202
Plusieurs administrateurs de gestionnaire de listes de diffusion ont remarqué des accès non autorisés à des archives de listes privées et � la configuration de la liste elle-même, incluant les mots de passe des utilisateurs. On recommande aux administrateurs de vérifier dans les journaux de leur serveur web la présence de requêtes contenant "/...../", ainsi que le chemin d'accès aux archives ou à la configuration. Cela semble affecter uniquement les systèmes fonctionnant sur des serveurs web qui n'échappent pas les slashes, comme Apache 1.3.

Pour l'actuelle distribution stable (Woody), ces problèmes ont été corrigés dans la version 2.0.11-1woody11.

Pour la distribution instable (Sid), ces problèmes ont été corrigés dans la version 2.1.5-6.

Nous vous recommandons de mettre à jour votre paquet mailman.

Corrigé dans :

Debian GNU/Linux 3.0 (woody)

Source :: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody11.dsc; http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody11.diff.gz; http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11.orig.tar.gz
Alpha:: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody11_alpha.deb
ARM:: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody11_arm.deb
Intel IA-32:: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody11_i386.deb
Intel IA-64:: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody11_ia64.deb
HPPA:: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody11_hppa.deb
Motorola 680x0:: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody11_m68k.deb
Big endian MIPS:: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody11_mips.deb
Little endian MIPS:: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody11_mipsel.deb
PowerPC:: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody11_powerpc.deb
IBM S/390:: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody11_s390.deb
Sun Sparc:: http://security.debian.org/pool/updates/main/m/mailman/mailman_2.0.11-1woody11_sparc.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.

Les sommes MD5 des fichiers indiqués sont disponibles dans la nouvelle annonce de sécurité.