Debian セキュリティ勧告

DSA-1002-1 webcalendar -- 複数の脆弱性

報告日時:

2006-03-15

影響を受けるパッケージ:

危険性:

あり

参考セキュリティデータベース:

Debian バグ追跡システム: バグ 341208, バグ 342090.
(SecurityFocus の) Bugtraq データベース: BugTraq ID 15606, BugTraq ID 15608, BugTraq ID 15662, BugTraq ID 15673.
Mitre の CVE 辞書: CVE-2005-3949, CVE-2005-3961, CVE-2005-3982.

詳細:

PHP ベースのマルチユーザカレンダー webcalendar にセキュリティ関連の問題が複数、発見されました。 The Common Vulnerabilities and Exposures project は以下の脆弱性を認識しています:

CVE-2005-3949
SQL インジェクション脆弱性が複数あり、リモートの攻撃者に任意の SQL コマンドの実行を許します。
CVE-2005-3961
入力のサニタイジング欠落により、攻撃者にローカルファイルの上書きを許します。
CVE-2005-3982
CRLF インジェクション脆弱性により、リモートの攻撃者に HTTP ヘッダの改変と HTTP レスポンス分割攻撃を許します。

旧安定版 (old stable) ディストリビューション (woody) には webcalendar パッケージは含まれません。

安定版 (stable) ディストリビューション (sarge) では、この問題はバージョン 0.9.45-4sarge3 で修正されています。

不安定版 (unstable) ディストリビューション (sid) では、この問題はバージョン 1.0.2-1 で修正されています。

直ちに webcalendar パッケージをアップグレードすることを勧めます。

修正:

Debian GNU/Linux 3.1 (sarge)

ソース:: http://security.debian.org/pool/updates/main/w/webcalendar/webcalendar_0.9.45-4sarge3.dsc; http://security.debian.org/pool/updates/main/w/webcalendar/webcalendar_0.9.45-4sarge3.diff.gz; http://security.debian.org/pool/updates/main/w/webcalendar/webcalendar_0.9.45.orig.tar.gz
アーキテクチャ非依存コンポーネント:: http://security.debian.org/pool/updates/main/w/webcalendar/webcalendar_0.9.45-4sarge3_all.deb

一覧にあるファイルの MD5 チェックサムは勧告の原文にあります。