Рекомендация Debian по безопасности

DSA-1239-1 sql-ledger -- несколько уязвимостей

Дата сообщения:

17.12.2006

Затронутые пакеты:

sql-ledger

Уязвим:

Да

Ссылки на базы данных по безопасности:

В системе отслеживания ошибок Debian: Ошибка 386519.
В каталоге Mitre CVE: CVE-2006-4244, CVE-2006-4731, CVE-2006-5872.

Более подробная информация:

В SQL Ledger, программе для ведения двойной бухгалтерии на основе веб, было обнаружено несколько удалённых уязвимостей, которые могут приводить к выполнению произвольного кода. Проект Common Vulnerabilities and Exposures определяет следующие проблемы:

CVE-2006-4244
Крис Трэверс обнаружил, что управление сессиями можно использовать для перехвата существующих сессий.
CVE-2006-4731
Крис Трэверс обнаружил, что обход каталога можно использовать для выполнения произвольного кода на языке Perl.
CVE-2006-5872
Было обнаружено, что отсутствие очистки входных данных позволяет выполнять произвольный код на языке Perl.

В стабильном выпуске (sarge) эти проблемы были исправлены в версии 2.4.7-2sarge1.

В готовящемся стабильном выпуске (etch) эти проблемы были исправлены в версии 2.6.21-1.

В нестабильном выпуске (sid) эти проблемы были исправлены в версии 2.6.21-1.

Рекомендуется обновить пакеты sql-ledger.

Исправлено в:

Debian GNU/Linux 3.1 (sarge)

Исходный код:: http://security.debian.org/pool/updates/main/s/sql-ledger/sql-ledger_2.4.7-2sarge1.dsc; http://security.debian.org/pool/updates/main/s/sql-ledger/sql-ledger_2.4.7-2sarge1.diff.gz; http://security.debian.org/pool/updates/main/s/sql-ledger/sql-ledger_2.4.7.orig.tar.gz
Независимые от архитектуры компоненты:: http://security.debian.org/pool/updates/main/s/sql-ledger/sql-ledger_2.4.7-2sarge1_all.deb

Контрольные суммы MD5 этих файлов доступны в исходном сообщении.