Рекомендация Debian по безопасности

DSA-1371-1 phpwiki -- несколько уязвимостей

Дата сообщения:

11.09.2007

Затронутые пакеты:

Уязвим:

Да

Ссылки на базы данных по безопасности:

В системе отслеживания ошибок Debian: Ошибка 429201, Ошибка 441390.
В каталоге Mitre CVE: CVE-2007-2024, CVE-2007-2025, CVE-2007-3193.

Более подробная информация:

В phpWiki, вики-движке, написанном на языке PHP, было обнаружено несколько уязвимостей. Проект Common Vulnerabilities and Exposures определяет следующие проблемы:

CVE-2007-2024
Было обнаружено, что phpWiki выполняет недостаточные проверки имён файлов, что позволяет загружать файлы без ограничений.
CVE-2007-2025
Было обнаружено, что phpWiki выполняет недостаточные проверки имён файлов, что позволяет загружать файлы без ограничений.
CVE-2007-3193
Если в настройках отсутствует ненулевое значение PASSWORD_LENGTH_MINIMUM, то phpWiki может позволять удалённым злоумышленникам обходить аутентификацию с помощью пустого пароля, что приводит к тому, что ldap_bind возвращает значение true при использовании определённых реализаций LDAP.

В предыдущем стабильном выпуске (sarge) пакеты phpwiki отсутствуют.

В стабильном выпуске (etch) эти проблемы были исправлены в версии 1.3.12p3-5etch1.

В нестабильном выпуске (sid) эти проблемы были исправлены в версии 1.3.12p3-6.1.

Рекомендуется обновить пакет phpwiki.

Исправлено в:

Debian GNU/Linux 4.0 (etch)

Исходный код:: http://security.debian.org/pool/updates/main/p/phpwiki/phpwiki_1.3.12p3-5etch1.dsc; http://security.debian.org/pool/updates/main/p/phpwiki/phpwiki_1.3.12p3-5etch1.diff.gz; http://security.debian.org/pool/updates/main/p/phpwiki/phpwiki_1.3.12p3.orig.tar.gz
Независимые от архитектуры компоненты:: http://security.debian.org/pool/updates/main/p/phpwiki/phpwiki_1.3.12p3-5etch1_all.deb

Контрольные суммы MD5 этих файлов доступны в исходном сообщении.