Bulletin d'alerte Debian

DSA-1678-1 perl -- Défauts de conception

Date du rapport :
3 décembre 2008
Paquets concernés :
perl
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 286905, Bogue 286922.
Dans le dictionnaire CVE du Mitre : CVE-2008-5302, CVE-2008-5303.
Plus de précisions :

Paul Szabo a découvert une vulnérabilité dans la fonction Perl File::Path::rmtree. Il était possible d'exploiter une condition de concurrence pour créer des binaires setuid dans l'arborescence des fichiers ou supprimer des fichiers quand un processus supprime cette arborescence. Ce problème est connu à l'origine par CVE-2005-0448 et CVE-2004-0452, qui étaient traités dans la DSA-696-1 et DSA-620-1. Mais par manque de chance il a été réintroduit plus tard.

Pour la distribution stable (Etch), ces problèmes ont été corrigés dans la version 5.8.8-7etch5.

Pour la distribution instable (Sid), ces problèmes ont été corrigés dans la version 5.10.0-18 et le seront dans la distribution de test (Lenny) prochainement.

Nous vous recommandons de mettre à jour vos paquets perl.

Corrigé dans :

Debian GNU/Linux 4.0 (etch)

Source :
http://security.debian.org/pool/updates/main/p/perl/perl_5.8.8-7etch5.dsc
http://security.debian.org/pool/updates/main/p/perl/perl_5.8.8.orig.tar.gz
http://security.debian.org/pool/updates/main/p/perl/perl_5.8.8-7etch5.diff.gz
Composant indépendant de l'architecture :
http://security.debian.org/pool/updates/main/p/perl/libcgi-fast-perl_5.8.8-7etch5_all.deb
http://security.debian.org/pool/updates/main/p/perl/perl-doc_5.8.8-7etch5_all.deb
http://security.debian.org/pool/updates/main/p/perl/perl-modules_5.8.8-7etch5_all.deb
Alpha:
http://security.debian.org/pool/updates/main/p/perl/perl_5.8.8-7etch5_alpha.deb
http://security.debian.org/pool/updates/main/p/perl/libperl5.8_5.8.8-7etch5_alpha.deb
http://security.debian.org/pool/updates/main/p/perl/perl-debug_5.8.8-7etch5_alpha.deb
http://security.debian.org/pool/updates/main/p/perl/perl-suid_5.8.8-7etch5_alpha.deb
http://security.debian.org/pool/updates/main/p/perl/libperl-dev_5.8.8-7etch5_alpha.deb
http://security.debian.org/pool/updates/main/p/perl/perl-base_5.8.8-7etch5_alpha.deb
AMD64:
http://security.debian.org/pool/updates/main/p/perl/libperl-dev_5.8.8-7etch5_amd64.deb
http://security.debian.org/pool/updates/main/p/perl/perl-base_5.8.8-7etch5_amd64.deb
http://security.debian.org/pool/updates/main/p/perl/perl-suid_5.8.8-7etch5_amd64.deb
http://security.debian.org/pool/updates/main/p/perl/perl_5.8.8-7etch5_amd64.deb
http://security.debian.org/pool/updates/main/p/perl/perl-debug_5.8.8-7etch5_amd64.deb
http://security.debian.org/pool/updates/main/p/perl/libperl5.8_5.8.8-7etch5_amd64.deb
ARM:
http://security.debian.org/pool/updates/main/p/perl/libperl5.8_5.8.8-7etch5_arm.deb
http://security.debian.org/pool/updates/main/p/perl/libperl-dev_5.8.8-7etch5_arm.deb
http://security.debian.org/pool/updates/main/p/perl/perl-suid_5.8.8-7etch5_arm.deb
http://security.debian.org/pool/updates/main/p/perl/perl_5.8.8-7etch5_arm.deb
http://security.debian.org/pool/updates/main/p/perl/perl-base_5.8.8-7etch5_arm.deb
http://security.debian.org/pool/updates/main/p/perl/perl-debug_5.8.8-7etch5_arm.deb
Intel IA-32:
http://security.debian.org/pool/updates/main/p/perl/perl_5.8.8-7etch5_i386.deb
http://security.debian.org/pool/updates/main/p/perl/libperl5.8_5.8.8-7etch5_i386.deb
http://security.debian.org/pool/updates/main/p/perl/libperl-dev_5.8.8-7etch5_i386.deb
http://security.debian.org/pool/updates/main/p/perl/perl-suid_5.8.8-7etch5_i386.deb
http://security.debian.org/pool/updates/main/p/perl/perl-debug_5.8.8-7etch5_i386.deb
http://security.debian.org/pool/updates/main/p/perl/perl-base_5.8.8-7etch5_i386.deb
Intel IA-64:
http://security.debian.org/pool/updates/main/p/perl/libperl-dev_5.8.8-7etch5_ia64.deb
http://security.debian.org/pool/updates/main/p/perl/perl-debug_5.8.8-7etch5_ia64.deb
http://security.debian.org/pool/updates/main/p/perl/perl-base_5.8.8-7etch5_ia64.deb
http://security.debian.org/pool/updates/main/p/perl/libperl5.8_5.8.8-7etch5_ia64.deb
http://security.debian.org/pool/updates/main/p/perl/perl-suid_5.8.8-7etch5_ia64.deb
http://security.debian.org/pool/updates/main/p/perl/perl_5.8.8-7etch5_ia64.deb
Big-endian MIPS:
http://security.debian.org/pool/updates/main/p/perl/perl-debug_5.8.8-7etch5_mips.deb
http://security.debian.org/pool/updates/main/p/perl/libperl-dev_5.8.8-7etch5_mips.deb
http://security.debian.org/pool/updates/main/p/perl/perl_5.8.8-7etch5_mips.deb
http://security.debian.org/pool/updates/main/p/perl/perl-suid_5.8.8-7etch5_mips.deb
http://security.debian.org/pool/updates/main/p/perl/perl-base_5.8.8-7etch5_mips.deb
http://security.debian.org/pool/updates/main/p/perl/libperl5.8_5.8.8-7etch5_mips.deb
PowerPC:
http://security.debian.org/pool/updates/main/p/perl/libperl-dev_5.8.8-7etch5_powerpc.deb
http://security.debian.org/pool/updates/main/p/perl/perl-debug_5.8.8-7etch5_powerpc.deb
http://security.debian.org/pool/updates/main/p/perl/libperl5.8_5.8.8-7etch5_powerpc.deb
http://security.debian.org/pool/updates/main/p/perl/perl-suid_5.8.8-7etch5_powerpc.deb
http://security.debian.org/pool/updates/main/p/perl/perl-base_5.8.8-7etch5_powerpc.deb
http://security.debian.org/pool/updates/main/p/perl/perl_5.8.8-7etch5_powerpc.deb
IBM S/390:
http://security.debian.org/pool/updates/main/p/perl/perl-base_5.8.8-7etch5_s390.deb
http://security.debian.org/pool/updates/main/p/perl/perl-suid_5.8.8-7etch5_s390.deb
http://security.debian.org/pool/updates/main/p/perl/perl-debug_5.8.8-7etch5_s390.deb
http://security.debian.org/pool/updates/main/p/perl/libperl5.8_5.8.8-7etch5_s390.deb
http://security.debian.org/pool/updates/main/p/perl/perl_5.8.8-7etch5_s390.deb
http://security.debian.org/pool/updates/main/p/perl/libperl-dev_5.8.8-7etch5_s390.deb
Sun Sparc:
http://security.debian.org/pool/updates/main/p/perl/libperl5.8_5.8.8-7etch5_sparc.deb
http://security.debian.org/pool/updates/main/p/perl/perl_5.8.8-7etch5_sparc.deb
http://security.debian.org/pool/updates/main/p/perl/perl-base_5.8.8-7etch5_sparc.deb
http://security.debian.org/pool/updates/main/p/perl/perl-suid_5.8.8-7etch5_sparc.deb
http://security.debian.org/pool/updates/main/p/perl/perl-debug_5.8.8-7etch5_sparc.deb
http://security.debian.org/pool/updates/main/p/perl/libperl-dev_5.8.8-7etch5_sparc.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.