Рекомендация Debian по безопасности
DSA-1863-1 zope2.10/zope2.9 -- несколько уязвимостей
- Дата сообщения:
- 15.08.2009
- Затронутые пакеты:
- zope2.10/zope2.9
- Уязвим:
- Да
- Ссылки на базы данных по безопасности:
- В каталоге Mitre CVE: CVE-2009-0668, CVE-2009-0669.
- Более подробная информация:
-
В zope, полнофункциональном сервере веб-приложений на языке Python, было обнаружено несколько удалённых уязвимостей, которые в худшем случае могут приводить к выполнению произвольного кода. Проект Common Vulnerabilities and Exposures определяет следующие проблемы:
- CVE-2009-0668
Из-за ошибки программирования метод авторизации в компоненте StorageServer для ZEO не используется как внутренний метод. Это позволяет злоумышленнику обходить аутентификацию при подключении к серверу ZEO, лишь вызывая этот метод авторизации.
- CVE-2009-0668
Сервер ZEO не ограничивает вызываемые термы при десериализации с помощью unpickle данных, полученных от злоумышленника, что может использоваться последним для выполнения произвольного кода на языке Python на стороне сервера путём отправки определённых исключений. Кроме того, это позволяет злоумышленнику импортировать любой доступный для импорта модуль, поскольку ZEO импортирует модуль, содержащий вызываемый терм, указанный в pickle для проверки наличия определённого флага.
Также данное обновление ограничивает число новых идентификаторов объектов, которые может запросить клиент, числом 100, так как запрос большого числа новых идентификаторов объектов это может использоваться для чрезмерного потребления ресурсов. Этой проблеме идентификатор CVE назначен не был.
В предыдущем стабильном выпуске (etch) эта проблема была исправлена в версии 2.9.6-4etch2 пакета zope2.9.
В стабильном выпуске (lenny) эта проблема была исправлена в версии 2.10.6-1+lenny1 пакета zope2.10.
В тестируемом выпуске (squeeze) эта проблема будет исправлена позже.
В нестабильном выпуске (sid) эта проблема была исправлена в версии 2.10.9-1 пакета zope2.10.
Рекомендуется обновить пакеты zope2.10/zope2.9.
- CVE-2009-0668
- Исправлено в:
-
Debian GNU/Linux 4.0 (etch)
- Исходный код:
- http://security.debian.org/pool/updates/main/z/zope2.9/zope2.9_2.9.6-4etch2.diff.gz
- http://security.debian.org/pool/updates/main/z/zope2.9/zope2.9_2.9.6-4etch2.dsc
- http://security.debian.org/pool/updates/main/z/zope2.9/zope2.9_2.9.6.orig.tar.gz
- http://security.debian.org/pool/updates/main/z/zope2.9/zope2.9_2.9.6-4etch2.dsc
- Независимые от архитектуры компоненты:
- http://security.debian.org/pool/updates/main/z/zope2.9/zope2.9-sandbox_2.9.6-4etch2_all.deb
- Alpha:
- http://security.debian.org/pool/updates/main/z/zope2.9/zope2.9_2.9.6-4etch2_alpha.deb
- AMD64:
- http://security.debian.org/pool/updates/main/z/zope2.9/zope2.9_2.9.6-4etch2_amd64.deb
- ARM:
- http://security.debian.org/pool/updates/main/z/zope2.9/zope2.9_2.9.6-4etch2_arm.deb
- HP Precision:
- http://security.debian.org/pool/updates/main/z/zope2.9/zope2.9_2.9.6-4etch2_hppa.deb
- Intel IA-32:
- http://security.debian.org/pool/updates/main/z/zope2.9/zope2.9_2.9.6-4etch2_i386.deb
- Intel IA-64:
- http://security.debian.org/pool/updates/main/z/zope2.9/zope2.9_2.9.6-4etch2_ia64.deb
- Big-endian MIPS:
- http://security.debian.org/pool/updates/main/z/zope2.9/zope2.9_2.9.6-4etch2_mips.deb
- Little-endian MIPS:
- http://security.debian.org/pool/updates/main/z/zope2.9/zope2.9_2.9.6-4etch2_mipsel.deb
- PowerPC:
- http://security.debian.org/pool/updates/main/z/zope2.9/zope2.9_2.9.6-4etch2_powerpc.deb
- IBM S/390:
- http://security.debian.org/pool/updates/main/z/zope2.9/zope2.9_2.9.6-4etch2_s390.deb
- Sun Sparc:
- http://security.debian.org/pool/updates/main/z/zope2.9/zope2.9_2.9.6-4etch2_sparc.deb
Debian GNU/Linux 5.0 (lenny)
- Исходный код:
- http://security.debian.org/pool/updates/main/z/zope2.10/zope2.10_2.10.6.orig.tar.gz
- http://security.debian.org/pool/updates/main/z/zope2.10/zope2.10_2.10.6-1+lenny1.dsc
- http://security.debian.org/pool/updates/main/z/zope2.10/zope2.10_2.10.6-1+lenny1.diff.gz
- http://security.debian.org/pool/updates/main/z/zope2.10/zope2.10_2.10.6-1+lenny1.dsc
- Независимые от архитектуры компоненты:
- http://security.debian.org/pool/updates/main/z/zope2.10/zope2.10-sandbox_2.10.6-1+lenny1_all.deb
- Alpha:
- http://security.debian.org/pool/updates/main/z/zope2.10/zope2.10_2.10.6-1+lenny1_alpha.deb
- AMD64:
- http://security.debian.org/pool/updates/main/z/zope2.10/zope2.10_2.10.6-1+lenny1_amd64.deb
- ARM:
- http://security.debian.org/pool/updates/main/z/zope2.10/zope2.10_2.10.6-1+lenny1_arm.deb
- ARM EABI:
- http://security.debian.org/pool/updates/main/z/zope2.10/zope2.10_2.10.6-1+lenny1_armel.deb
- HP Precision:
- http://security.debian.org/pool/updates/main/z/zope2.10/zope2.10_2.10.6-1+lenny1_hppa.deb
- Intel IA-32:
- http://security.debian.org/pool/updates/main/z/zope2.10/zope2.10_2.10.6-1+lenny1_i386.deb
- Intel IA-64:
- http://security.debian.org/pool/updates/main/z/zope2.10/zope2.10_2.10.6-1+lenny1_ia64.deb
- Little-endian MIPS:
- http://security.debian.org/pool/updates/main/z/zope2.10/zope2.10_2.10.6-1+lenny1_mipsel.deb
- PowerPC:
- http://security.debian.org/pool/updates/main/z/zope2.10/zope2.10_2.10.6-1+lenny1_powerpc.deb
- IBM S/390:
- http://security.debian.org/pool/updates/main/z/zope2.10/zope2.10_2.10.6-1+lenny1_s390.deb
- Sun Sparc:
- http://security.debian.org/pool/updates/main/z/zope2.10/zope2.10_2.10.6-1+lenny1_sparc.deb
Контрольные суммы MD5 этих файлов доступны в исходном сообщении.