Debians sikkerhedsbulletin
DSA-1488-1 phpbb2 -- flere sårbarheder
- Rapporteret den:
- 9. feb 2008
- Berørte pakker:
- phpbb2
- Sårbar:
- Ja
- Referencer i sikkerhedsdatabaser:
- I Debians fejlsporingssystem: Fejl 388120, Fejl 405980, Fejl 463589.
I Mitres CVE-ordbog: CVE-2006-4758, CVE-2006-6839, CVE-2006-6840, CVE-2006-6508, CVE-2006-6841, CVE-2008-0471. - Yderligere oplysninger:
-
Flere fjernudnytbare sårbarheder er opdaget i phpBB, et webbaseret bulletin board (opslagstavle). Projektet Common Vulnerabilities and Exposures har fundet frem til følgende problemer:
- CVE-2008-0471
Forespørgselsforfalskning i forbindelse med private meddelelser på tværs af servere, hvilket gjorde det muligt at slette alle en brugers private meddelelser, ved at sende dem til en særligt fremstillet webside.
- CVE-2006-6841 / CVE-2006-6508
Forespørgselsforfalskning på tværs af websteder gjorde det muligt for en angriber at udføre forskellige handlinger på vegne af en indlogget bruger. (Gælder kun sarge).
- CVE-2006-6840
Et negativt startparameter kunne gøre det muligt for en angriber at fremstille udgyldige uddata. (Gælder kun sarge.)
- CVE-2006-6839
Omdirigeringsmål blev ikke helt kontrolleret, hvilket efterlod mulighed for uautoriserede eksterne omdirigeringer gennem et phpBB-forum. (Gælder kun sarge).
- CVE-2006-4758
En autentificeret forumadministrator kunne uploade filer af enhver type, ved at anvende særligt fremstillede filnavne. (Gælder kun sarge.)
I den gamle stabile distribution (sarge), er disse problemer rettet i version 2.0.13+1-6sarge4.
I den stabile distribution (etch), er disse problemer rettet i version 2.0.21-7.
I den ustabile distribution (sid) er disse problemer rettet i version 2.0.22-3.
Vi anbefaler at du opgraderer din phpbb2-pakke.
- CVE-2008-0471
- Rettet i:
-
Debian GNU/Linux 3.1 (sarge)
- Kildekode:
- http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2_2.0.13+1-6sarge4.diff.gz
- http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2_2.0.13+1.orig.tar.gz
- http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2_2.0.13+1-6sarge4.dsc
- http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2_2.0.13+1.orig.tar.gz
- Arkitekturuafhængig komponent:
- http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2-conf-mysql_2.0.13-6sarge4_all.deb
- http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2_2.0.13-6sarge4_all.deb
- http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2-languages_2.0.13-6sarge4_all.deb
- http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2_2.0.13-6sarge4_all.deb
Debian GNU/Linux 4.0 (etch)
- Kildekode:
- http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2_2.0.21-7.dsc
- http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2_2.0.21.orig.tar.gz
- http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2_2.0.21-7.diff.gz
- http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2_2.0.21.orig.tar.gz
- Arkitekturuafhængig komponent:
- http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2-languages_2.0.21-7_all.deb
- http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2_2.0.21-7_all.deb
- http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2-conf-mysql_2.0.21-7_all.deb
- http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2_2.0.21-7_all.deb
MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.
