Debian-Sicherheitsankündigung

DSA-925-1 phpbb2 -- Mehrere Verwundbarkeiten

Datum des Berichts:

22. Dez 2005

Betroffene Pakete:

Verwundbar:

Sicherheitsdatenbanken-Referenzen:

In der Debian-Fehlerdatenbank: Fehler 35662, Fehler 336582, Fehler 336587.
In der Bugtraq-Datenbank (bei SecurityFocus): BugTraq ID 15170, BugTraq ID 15243.
In Mitres CVE-Verzeichnis: CVE-2005-3310, CVE-2005-3415, CVE-2005-3416, CVE-2005-3417, CVE-2005-3418, CVE-2005-3419, CVE-2005-3420, CVE-2005-3536, CVE-2005-3537.

Weitere Informationen:

Mehrere Verwundbarkeiten wurden in phpBB entdeckt, einem vielseitigen und optisch anpassbaren Webforum. Das Common Vulnerabilities and Exposures project identifiziert die folgenden Probleme:

CVE-2005-3310
Mehrere Interpretationsfehler ermöglichen entfernten authentifizierten Benutzern, beliebigen Webskript-Code einzuschleusen, wenn entfernte Avatars und das Hochladen von Avatars aktiviert sind.
CVE-2005-3415
phpBB ermöglicht entfernten Angreifern, Schutzmechanismen zu umgehen, die globale Variablen deregistrieren sollen, so dass Angreifer das Verhalten von phpBB manipulieren können.
CVE-2005-3416
phpBB ermöglicht entfernten Angreifern, Sicherheitsüberprüfungen zu umgehen, wenn register_globals aktiviert ist und die Funktion session_start nicht aufgerufen wurde, um eine Session zu verwalten.
CVE-2005-3417
phpBB ermöglicht entfernten Angreifern, globale Variablen zu ändern und Sicherheitsmechanismen zu umgehen.
CVE-2005-3418
Mehrere Verwundbarkeiten durch Site-übergreifendes Skripting (XSS) ermöglichen entfernten Angreifern, beliebige Webskripte einzuschleusen.
CVE-2005-3419
Eine Verwundbarkeit durch SQL-Einschleusung ermöglicht entfernten Angreifern, beliebige SQL-Befehle auszuführen.
CVE-2005-3420
phpBB ermöglicht entfernten Angreifern, über den Parameter signature_bbcode_uid reguläre Ausdrücke zu ändern und PHP-Code auszuführen.
CVE-2005-3536
Fehlende Entschärfung der Eingabe der Themenart ermöglicht entfernten Angreifern, beliebige SQL-Befehle einzuschleusen.
CVE-2005-3537
Fehlende Überprüfung einer Anfrage ermöglichte entfernten Angreifern, private Nachrichten von anderen Benutzern zu bearbeiten.

Die alte Stable-Distribution (Woody) enthält das phpbb2-Paket nicht.

Für die Stable-Distribution (Sarge) wurden diese Probleme in Version 2.0.13+1-6sarge2 behoben.

Für die Unstable-Distribution (Sid) wurden diese Probleme in Version 2.0.18-1 behoben.

Wir empfehlen Ihnen, Ihre phpbb2-Pakete zu aktualisieren.

Behoben in:

Debian GNU/Linux 3.1 (sarge)

Quellcode:: http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2_2.0.13+1-6sarge2.dsc; http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2_2.0.13+1-6sarge2.diff.gz; http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2_2.0.13+1.orig.tar.gz
Architektur-unabhängige Dateien:: http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2-conf-mysql_2.0.13-6sarge2_all.deb; http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2-languages_2.0.13-6sarge2_all.deb; http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2_2.0.13-6sarge2_all.deb

MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.