Рекомендация Debian по безопасности

DSA-1913-1 bugzilla -- SQL-инъекция

Дата сообщения:

17.10.2009

Затронутые пакеты:

bugzilla

Уязвим:

Да

Ссылки на базы данных по безопасности:

В системе отслеживания ошибок Debian: Ошибка 547132.
В каталоге Mitre CVE: CVE-2009-3165.

Более подробная информация:

Макс Канат-Александр, Брэдли Битц и Фредерис Баклин обнаружили SQL-инъекцию в функции Bug.create WebService из состава Bugzilla, системе отслеживания ошибок на основе веб, которая позволяет удалённым злоумышленникам выполнять произвольные команды SQL.

Предыдущий стабильный выпуск (etch) не подвержен данной проблеме.

В стабильном выпуске (lenny) эта проблема была исправлена в версии 3.0.4.1-2+lenny2.

В тестируемом (squeeze) и нестабильном (sid) выпусках эта проблема будет исправлена позже.

Рекомендуется обновить пакеты bugzilla.

Исправлено в:

Debian GNU/Linux 5.0 (lenny)

Исходный код:: http://security.debian.org/pool/updates/main/b/bugzilla/bugzilla_3.0.4.1-2+lenny2.dsc; http://security.debian.org/pool/updates/main/b/bugzilla/bugzilla_3.0.4.1-2+lenny2.diff.gz; http://security.debian.org/pool/updates/main/b/bugzilla/bugzilla_3.0.4.1.orig.tar.gz
Независимые от архитектуры компоненты:: http://security.debian.org/pool/updates/main/b/bugzilla/bugzilla3_3.0.4.1-2+lenny2_all.deb; http://security.debian.org/pool/updates/main/b/bugzilla/bugzilla3-doc_3.0.4.1-2+lenny2_all.deb

Контрольные суммы MD5 этих файлов доступны в исходном сообщении.