Säkerhetsbulletin från Debian

DSA-1029-1 libphp-adodb -- flera sårbarheter

Rapporterat den:
2006-04-08
Berörda paket:
libphp-adodb
Sårbara:
Ja
Referenser i säkerhetsdatabaser:
I Debians felrapporteringssystem: Fel 349985, Fel 358872.
I Bugtraq-databasen (hos SecurityFocus): BugTraq-id 16187, BugTraq-id 16364, BugTraq-id 16720.
I Mitres CVE-förteckning: CVE-2006-0146, CVE-2006-0147, CVE-2006-0410, CVE-2006-0806.
Ytterligare information:

Flera sårbarheter har upptäckts i libphp-adodb, ”adodb”-databasabstraheringslagret för PHP. Projektet Common Vulnerabilities and Exposures identifierar följande problem:

  • CVE-2006-0146

    Andreas Sandblad upptäckte att felaktig städning av indata kunde leda till en möjlig utifrån nåbar SQL-injiceringssårbarhet, vilket gjorde det möjligt för en angripare att kompromettera program, läsa eller ändra data, eller utnyttja sårbarheter i den underliggande databasimplementationen. Detta kräver att MySQL-rootlösenordet är tomt. Det har rättats genom att begränsa tillgången till skriptet i fråga.

  • CVE-2006-0147

    En dynamisk kodevalueringssårbarhet gjorde det möjligt för angripare utifrån att exekvera godtyckliga PHP-funktioner via ”do”-flaggan.

  • CVE-2006-0410

    Andy Staudacher upptäckte en SQL-injiceringssårbarhet som kommer av otillräcklig städning av indata, vilket gjorde det möjligt för angripare utifrån att exekvera godtyckliga SQL-kommandon.

  • CVE-2006-0806

    GulfTech Security Research upptäckte flera serveröverskridande skriptsårbarheter som berodde på felaktig städning av indata från användaren. Angripare kunde utnyttja dessa sårbarheter till att få godtyckliga skript att exekveras i webbläsaren hos en intet ont anande användare, eller leda till att kakbaserade autentisering stjäls.

För den gamla stabila utgåvan (Woody) har dessa problem rättats i version 1.51-1.2.

För den stabila utgåvan (Sarge) har dessa problem rättats i version 4.52-1sarge1.

För den instabila utgåvan (Sid) har dessa problem rättats i version 4.72-0.1.

Vi rekommenderar att ni uppgraderar ert libphp-adodb-paket.

Rättat i:

Debian GNU/Linux 3.0 (woody)

Källkod:
http://security.debian.org/pool/updates/main/libp/libphp-adodb/libphp-adodb_1.51-1.2.dsc
http://security.debian.org/pool/updates/main/libp/libphp-adodb/libphp-adodb_1.51-1.2.diff.gz
http://security.debian.org/pool/updates/main/libp/libphp-adodb/libphp-adodb_1.51.orig.tar.gz
Arkitekturoberoende komponent:
http://security.debian.org/pool/updates/main/libp/libphp-adodb/libphp-adodb_1.51-1.2_all.deb

Debian GNU/Linux 3.1 (sarge)

Källkod:
http://security.debian.org/pool/updates/main/libp/libphp-adodb/libphp-adodb_4.52-1sarge1.dsc
http://security.debian.org/pool/updates/main/libp/libphp-adodb/libphp-adodb_4.52-1sarge1.diff.gz
http://security.debian.org/pool/updates/main/libp/libphp-adodb/libphp-adodb_4.52.orig.tar.gz
Arkitekturoberoende komponent:
http://security.debian.org/pool/updates/main/libp/libphp-adodb/libphp-adodb_4.52-1sarge1_all.deb

MD5-kontrollsummor för dessa filer finns i originalbulletinen.