Debians sikkerhedsbulletin

DSA-1029-1 libphp-adodb -- flere sårbarheder

Rapporteret den:
8. apr 2006
Berørte pakker:
libphp-adodb
Sårbar:
Ja
Referencer i sikkerhedsdatabaser:
I Debians fejlsporingssystem: Fejl 349985, Fejl 358872.
I Bugtraq-databasen (hos SecurityFocus): BugTraq-id 16187, BugTraq-id 16364, BugTraq-id 16720.
I Mitres CVE-ordbog: CVE-2006-0146, CVE-2006-0147, CVE-2006-0410, CVE-2006-0806.
Yderligere oplysninger:

Flere sårbarheder er opdaget i libphp-adodb, 'adodb'-databaseabstraktionslaget til PHP. Projektet Common Vulnerabilities and Exposures har fundet frem til følgende problemer:

  • CVE-2006-0146

    Andreas Sandblad har opdaget at ukorrekt kontrol af brugerinddata medførte en potentiel fjernudnytbar SQL-indsprøjtningssårbarhed, der gjorde det muligt for en angriber at kompromittere programmer, tilgå eller ændre data, eller udnytte sårbarheder i den underliggende implementering af databasen. Dette krævede at MySQL's root-adgangskode var tom. Rettelsen er udført ved at begrænse adgang til det pågældende skript.

  • CVE-2006-0147

    En dynamisk kodeevalueringssårbarhed tillod fjernangribere at udføre vilkårlige PHP-funktioner via parameteret 'do'.

  • CVE-2006-0410

    Andy Staudacher har opdaget en SQL-indsprøjtningssårbarhed som følge af utilstrækkelig kontrol af inddata, der gjorde det muligt for fjernangribere at udføre vilkårlige SQL-kommandoer.

  • CVE-2006-0806

    GulfTech Security Research har opdaget flere sårbarheder i forbindelse med udførelse af skripter på tværs af websteder (cross-site scripting), på grund af ukorrekt kontrol af brugerinddata. Angribere kunne udnytte disse sårbarheder til at forårsage, at vilkårlige skripter blev udført i browseren på et intetanende offers maskine, eller medføre i tyveri af cookie-baserede autentifikationsoplysninger.

I den gamle stabile distribution (woody) er disse problemer rettet i version 1.51-1.2.

I den stabile distribution (sarge) er disse problemer rettet i version 4.52-1sarge1.

I den ustabile distribution (sid) er disse problemer rettet i version 4.72-0.1.

Vi anbefaler at du opgraderer din libphp-adodb-pakke.

Rettet i:

Debian GNU/Linux 3.0 (woody)

Kildekode:
http://security.debian.org/pool/updates/main/libp/libphp-adodb/libphp-adodb_1.51-1.2.dsc
http://security.debian.org/pool/updates/main/libp/libphp-adodb/libphp-adodb_1.51-1.2.diff.gz
http://security.debian.org/pool/updates/main/libp/libphp-adodb/libphp-adodb_1.51.orig.tar.gz
Arkitekturuafhængig komponent:
http://security.debian.org/pool/updates/main/libp/libphp-adodb/libphp-adodb_1.51-1.2_all.deb

Debian GNU/Linux 3.1 (sarge)

Kildekode:
http://security.debian.org/pool/updates/main/libp/libphp-adodb/libphp-adodb_4.52-1sarge1.dsc
http://security.debian.org/pool/updates/main/libp/libphp-adodb/libphp-adodb_4.52-1sarge1.diff.gz
http://security.debian.org/pool/updates/main/libp/libphp-adodb/libphp-adodb_4.52.orig.tar.gz
Arkitekturuafhængig komponent:
http://security.debian.org/pool/updates/main/libp/libphp-adodb/libphp-adodb_4.52-1sarge1_all.deb

MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.