Alerta de Segurança Debian

DSA-951-2 trac -- falta de limpeza da entrada

Data do Alerta:
23 Jan 2006
Pacotes Afetados:
trac
Vulnerável:
Sim
Referência à base de dados de segurança:
No sistema de acompanhamento de bugs do Debian: Bug 348791.
Na base de dados do BugTraq (na SecurityFocus): ID BugTraq 15720, ID BugTraq 16198.
No dicionário CVE do Mitre: CVE-2005-4065, CVE-2005-4644.
Informações adicionais:

Esta atualização corrige o recurso de busca no trac, um wiki e sistema de rastreamento de ocorrências para projetos de desenvolvimento de software, que quebrou com a última atualização de segurança. Para complementar, veja abaixo o texto original do alerta:

Várias vulnerabilidades foram descobertas no trac, um wiki e sistema de rastreamento de ocorrências para projetos de desenvolvimento de software. O projeto [1]Common Vulnerabilities and Exposures identificou os seguintes problemas:

  • CVE-2005-4065

    Devido à falta de saneamento no campo de entrada é possível injetar código SQL arbitrário nos comandos SQL.

  • CVE-2005-4644

    Foi descoberta uma vulnerabilidade de "cross-site scripting" que permite aos atacantes injetarem scripts web ou HTML arbitrários.

A antiga distribuição estável ("woody") não contém o pacote trac.

Para a distribuição estável ("sarge") estes problemas foram corrigidos na versão 0.8.1-3sarge4.

Para a distribuição instável ("sid") estes problemas foram corrigidos na versão 0.9.3-1.

Recomendamos que você atualize seu pacote trac.

1.Common Vulnerabilities and Exposures é um projeto que visa padronizar os nomes para os avisos de vulnerabilidades e exposições de segurança.

Corrigido em:

Debian GNU/Linux 3.1 (sarge)

Fonte:
http://security.debian.org/pool/updates/main/t/trac/trac_0.8.1-3sarge4.dsc
http://security.debian.org/pool/updates/main/t/trac/trac_0.8.1-3sarge4.diff.gz
http://security.debian.org/pool/updates/main/t/trac/trac_0.8.1.orig.tar.gz
Componente independente de arquitetura:
http://security.debian.org/pool/updates/main/t/trac/trac_0.8.1-3sarge4_all.deb

Checksums MD5 dos arquivos listados estão disponíveis no alerta original.

Checksums MD5 dos arquivos listados estão disponíveis no alerta revisado.