Bulletin d'alerte Debian

DSA-1910-1 mysql-ocaml -- Fonction d'échappement manquante

Date du rapport :

14 octobre 2009

Paquets concernés :

mysql-ocaml

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2009-2942.

Plus de précisions :

ocaml-mysql, liaisons (bindings) OCaml pour MySQL, n'avait pas de fonction pour appeler mysql_real_escape_string(). C'est nécessaire car mysql_real_escape_string() respecte le jeu de caractères de la connexion et évite des protections insuffisantes quand certains encodages de caractères multioctets sont utilisés. La nouvelle fonction s'appelle real_escape(), et prend la connexion à la base de données en premier argument. L'ancienne fonction escape_string() a aussi été gardée pour la compatibilité ascendante.

Nous recommandons aux développeurs utilisant ces liaisons d'ajuster leur code pour utiliser la nouvelle fonction.

Pour la distribution oldstable (Etch), ce problème a été corrigé dans la version 1.0.4-2+etch1.

Pour la distribution stable (Lenny), ce problème a été corrigé dans la version 1.0.4-4+lenny1.

Pour la distribution testing (Squeeze) et la distribution unstable (Sid), ce problème sera corrigé prochainement.

Nous vous recommandons de mettre à jour vos paquets mysql-ocaml.

Corrigé dans :

Debian GNU/Linux 4.0 (etch)

Source :: http://security.debian.org/pool/updates/main/m/mysql-ocaml/mysql-ocaml_1.0.4-2+etch1.diff.gz; http://security.debian.org/pool/updates/main/m/mysql-ocaml/mysql-ocaml_1.0.4-2+etch1.dsc
AMD64:: http://security.debian.org/pool/updates/main/m/mysql-ocaml/libmysql-ocaml_1.0.4-2+etch1_amd64.deb; http://security.debian.org/pool/updates/main/m/mysql-ocaml/libmysql-ocaml-dev_1.0.4-2+etch1_amd64.deb
Big-endian MIPS:: http://security.debian.org/pool/updates/main/m/mysql-ocaml/libmysql-ocaml-dev_1.0.4-2+etch1_mips.deb; http://security.debian.org/pool/updates/main/m/mysql-ocaml/libmysql-ocaml_1.0.4-2+etch1_mips.deb
Little-endian MIPS:: http://security.debian.org/pool/updates/main/m/mysql-ocaml/libmysql-ocaml-dev_1.0.4-2+etch1_mipsel.deb; http://security.debian.org/pool/updates/main/m/mysql-ocaml/libmysql-ocaml_1.0.4-2+etch1_mipsel.deb
Sun Sparc:: http://security.debian.org/pool/updates/main/m/mysql-ocaml/libmysql-ocaml-dev_1.0.4-2+etch1_sparc.deb; http://security.debian.org/pool/updates/main/m/mysql-ocaml/libmysql-ocaml_1.0.4-2+etch1_sparc.deb

Debian GNU/Linux 5.0 (lenny)

Source :: http://security.debian.org/pool/updates/main/m/mysql-ocaml/mysql-ocaml_1.0.4-4+lenny1.dsc; http://security.debian.org/pool/updates/main/m/mysql-ocaml/mysql-ocaml_1.0.4-4+lenny1.diff.gz; http://security.debian.org/pool/updates/main/m/mysql-ocaml/mysql-ocaml_1.0.4.orig.tar.gz
Alpha:: http://security.debian.org/pool/updates/main/m/mysql-ocaml/libmysql-ocaml-dev_1.0.4-4+lenny1_alpha.deb; http://security.debian.org/pool/updates/main/m/mysql-ocaml/libmysql-ocaml_1.0.4-4+lenny1_alpha.deb
AMD64:: http://security.debian.org/pool/updates/main/m/mysql-ocaml/libmysql-ocaml_1.0.4-4+lenny1_amd64.deb; http://security.debian.org/pool/updates/main/m/mysql-ocaml/libmysql-ocaml-dev_1.0.4-4+lenny1_amd64.deb
ARM:: http://security.debian.org/pool/updates/main/m/mysql-ocaml/libmysql-ocaml-dev_1.0.4-4+lenny1_arm.deb; http://security.debian.org/pool/updates/main/m/mysql-ocaml/libmysql-ocaml_1.0.4-4+lenny1_arm.deb
HP Precision:: http://security.debian.org/pool/updates/main/m/mysql-ocaml/libmysql-ocaml_1.0.4-4+lenny1_hppa.deb; http://security.debian.org/pool/updates/main/m/mysql-ocaml/libmysql-ocaml-dev_1.0.4-4+lenny1_hppa.deb
Intel IA-32:: http://security.debian.org/pool/updates/main/m/mysql-ocaml/libmysql-ocaml_1.0.4-4+lenny1_i386.deb; http://security.debian.org/pool/updates/main/m/mysql-ocaml/libmysql-ocaml-dev_1.0.4-4+lenny1_i386.deb
Intel IA-64:: http://security.debian.org/pool/updates/main/m/mysql-ocaml/libmysql-ocaml-dev_1.0.4-4+lenny1_ia64.deb; http://security.debian.org/pool/updates/main/m/mysql-ocaml/libmysql-ocaml_1.0.4-4+lenny1_ia64.deb
Big-endian MIPS:: http://security.debian.org/pool/updates/main/m/mysql-ocaml/libmysql-ocaml-dev_1.0.4-4+lenny1_mips.deb; http://security.debian.org/pool/updates/main/m/mysql-ocaml/libmysql-ocaml_1.0.4-4+lenny1_mips.deb
Little-endian MIPS:: http://security.debian.org/pool/updates/main/m/mysql-ocaml/libmysql-ocaml_1.0.4-4+lenny1_mipsel.deb; http://security.debian.org/pool/updates/main/m/mysql-ocaml/libmysql-ocaml-dev_1.0.4-4+lenny1_mipsel.deb
PowerPC:: http://security.debian.org/pool/updates/main/m/mysql-ocaml/libmysql-ocaml_1.0.4-4+lenny1_powerpc.deb; http://security.debian.org/pool/updates/main/m/mysql-ocaml/libmysql-ocaml-dev_1.0.4-4+lenny1_powerpc.deb
IBM S/390:: http://security.debian.org/pool/updates/main/m/mysql-ocaml/libmysql-ocaml-dev_1.0.4-4+lenny1_s390.deb; http://security.debian.org/pool/updates/main/m/mysql-ocaml/libmysql-ocaml_1.0.4-4+lenny1_s390.deb
Sun Sparc:: http://security.debian.org/pool/updates/main/m/mysql-ocaml/libmysql-ocaml_1.0.4-4+lenny1_sparc.deb; http://security.debian.org/pool/updates/main/m/mysql-ocaml/libmysql-ocaml-dev_1.0.4-4+lenny1_sparc.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.