Debian セキュリティ勧告

DSA-980-1 tutos -- 複数の脆弱性

報告日時:

2006-02-22

影響を受けるパッケージ:

tutos

危険性:

あり

参考セキュリティデータベース:

Debian バグ追跡システム: バグ 318633.
Mitre の CVE 辞書: CVE-2004-2161, CVE-2004-2162.

詳細:

Joxean Koret さんが、ウェブベースのチーム体制向けソフトウェア tutos にセキュリティ問題を複数、発見しました。The Common Vulnerabilities and Exposures project は以下の問題を認識しています:

CVE-2004-2161
SQL インジェクション脆弱性により、file_overview.php の link_id パラメータを経由した SQL コマンドの実行を許します。
CVE-2004-2162
アドレス帳と app_new.php 中の検索用関数にクロスサイトスクリプティング脆弱性があり、ウェブスクリプトコードの実行を許します。

旧安定版 (old stable) ディストリビューション (woody) には tutos パッケージは含まれません。

安定版 (stable) ディストリビューション (sarge) では、この問題はバージョン 1.1.20031017-2+1sarge1 で修正されています。

不安定版 (unstable) ディストリビューション (sid) には tutos パッケージは含まれなくなっています。

直ちに tutos パッケージをアップグレードすることを勧めます。

修正:

ソース:: http://security.debian.org/pool/updates/main/t/tutos/tutos_1.1.20031017-2+1sarge1.dsc; http://security.debian.org/pool/updates/main/t/tutos/tutos_1.1.20031017-2+1sarge1.tar.gz
アーキテクチャ非依存コンポーネント:: http://security.debian.org/pool/updates/main/t/tutos/tutos_1.1.20031017-2+1sarge1_all.deb

一覧にあるファイルの MD5 チェックサムは勧告の原文にあります。