Säkerhetsbulletin från Debian
DSA-1930-1 drupal6 -- flera sårbarheter
- Rapporterat den:
- 2009-11-07
- Berörda paket:
- drupal6
- Sårbara:
- Ja
- Referenser i säkerhetsdatabaser:
- I Debians felrapporteringssystem: Fel 535435, Fel 547140.
I Mitres CVE-förteckning: CVE-2009-2372, CVE-2009-2373, CVE-2009-2374. - Ytterligare information:
-
Flera sårbarheter har upptäckts i drupal6, ett fullfjädrat innehållshanteringsramverk. Projektet Common Vulnerabilities and Exposures identifierar följande problem:
- CVE-2009-2372
Gerhard Killesreiter upptäckte ett problem i hur användarsignaturer hanteras. Det är möjligt för en användare att injicera godtycklig kod med hjälp av en specialskriven användarsignatur. (SA-CORE-2009-007)
- CVE-2009-2373
Mark Piper, Sven Herrmann och Brandon Knight upptäckte ett serveröverskridande skriptproblem i forummodulen, som kunde utnyttjas genom parametern tid. (SA-CORE-2009-007)
- CVE-2009-2374
Sumit Datta upptäckte att drupal6-sidor läcker känslig information såsom användarautentiseringsinformation. (SA-CORE-2009-007)
Flera designproblem i OpenID-modulen har rättats, som kunde leda till serveröverskridande förfrågeförfalskningar eller utökning av privilegiers. Dessutom behandlar inte filuppladdningsfunktionen alla utökningar ordentligt vilket kan leda till exekvering av godtycklig kod. (SA-CORE-2009-008)
Den gamla stabila utgåvan (Etch) innehåller inte drupal6.
För den stabila utgåvan (Lenny) har dessa problem rättats i version 6.6-3lenny3.
För uttestningsutgåvan (Squeeze) och den instabila utgåvan (Sid) har dessa problem rättats i version 6.14-1.
Vi rekommenderar att ni uppgraderar era drupal6-paket.
- CVE-2009-2372
- Rättat i:
-
Debian GNU/Linux 5.0 (lenny)
- Källkod:
- http://security.debian.org/pool/updates/main/d/drupal6/drupal6_6.6-3lenny3.dsc
- http://security.debian.org/pool/updates/main/d/drupal6/drupal6_6.6-3lenny3.diff.gz
- http://security.debian.org/pool/updates/main/d/drupal6/drupal6_6.6.orig.tar.gz
- http://security.debian.org/pool/updates/main/d/drupal6/drupal6_6.6-3lenny3.diff.gz
- Arkitekturoberoende komponent:
- http://security.debian.org/pool/updates/main/d/drupal6/drupal6_6.6-3lenny3_all.deb
MD5-kontrollsummor för dessa filer finns i originalbulletinen.