Рекомендация Debian по безопасности

DSA-1693-2 phppgadmin -- несколько уязвимостей

Дата сообщения:

27.12.2008

Затронутые пакеты:

Уязвим:

Да

Ссылки на базы данных по безопасности:

В системе отслеживания ошибок Debian: Ошибка 427151, Ошибка 449103, Ошибка 508026.
В каталоге Mitre CVE: CVE-2007-2865, CVE-2007-5728, CVE-2008-5587.

Более подробная информация:

В phpPgAdmin, инструменте для администрирования базы данных PostgreSQL через веб, было обнаружено несколько удалённых уязвимостей. Проект Common Vulnerabilities and Exposures определяет следующие проблемы:

CVE-2007-2865
Межсайтовый скриптинг позволяет удалённым злоумышленникам вводить произвольный веб-сценарий или код HTML с помощью параметра сервера.
CVE-2007-5728
Межсайтовый скриптинг позволяет удалённым злоумышленникам вводить произвольный веб-сценарий или код HTML с помощью PHP_SELF.
CVE-2008-5587
Обход каталога позволяет удалённым злоумышленникам считывать произвольные файлы с помощью параметра _language.

В стабильном выпуске (etch) эти проблемы были исправлены в версии 4.0.1-3.1etch2.

В нестабильном выпуске (sid) эти проблемы были исправлены в версии 4.2.1-1.1.

Рекомендуется обновить пакет phppgadmin.

Исправлено в:

Debian GNU/Linux 4.0 (etch)

Исходный код:: http://security.debian.org/pool/updates/main/p/phppgadmin/phppgadmin_4.0.1.orig.tar.gz; http://security.debian.org/pool/updates/main/p/phppgadmin/phppgadmin_4.0.1-3.1etch2.dsc; http://security.debian.org/pool/updates/main/p/phppgadmin/phppgadmin_4.0.1-3.1etch2.diff.gz
Независимые от архитектуры компоненты:: http://security.debian.org/pool/updates/main/p/phppgadmin/phppgadmin_4.0.1-3.1etch2_all.deb

Контрольные суммы MD5 этих файлов доступны в исходном сообщении.